发几个R3枚举进程的代码

KMSRussian

还有R3下的方法没涉及到CoCreateInstance()，ConnectServer()，ExecQuery()等

1. ///////////////////////////////////////////////////////////////
   
2. // 02ProcessList.cpp文件
   
3. 
   
4. 
   
5. #include "stdafx.h"
   
6. #include <windows.h>
   
7. #include <tlhelp32.h> // 声明快照函数的头文件
   
8. 
   
9. int main(int argc, char* argv[])
   
10. {
    
11.         PROCESSENTRY32 pe32;
    
12.         // 在使用这个结构之前，先设置它的大小
    
13.         pe32.dwSize = sizeof(pe32);
    
14.        
    
15.         // 给系统内的所有进程拍一个快照
    
16.         HANDLE hProcessSnap = ::CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS, 0);
    
17.         if(hProcessSnap == INVALID_HANDLE_VALUE)
    
18.         {
    
19.                 printf(" CreateToolhelp32Snapshot调用失败！ \n");
    
20.                 return -1;
    
21.         }
    
22.        
    
23.         // 遍历进程快照，轮流显示每个进程的信息
    
24.         BOOL bMore = ::Process32First(hProcessSnap, &pe32);
    
25.         while(bMore)
    
26.         {
    
27.                 printf(" 进程名称：%s \n", pe32.szExeFile);
    
28.                 printf(" 进程ID号：%u \n\n", pe32.th32ProcessID);
    
29. 
    
30.                 bMore = ::Process32Next(hProcessSnap, &pe32);
    
31.         }
    
32. 
    
33.         // 不要忘记清除掉snapshot对象
    
34.         ::CloseHandle(hProcessSnap);
    
35.         return 0;
    
36. }
    

复制代码

1. #include "windows.h"
   
2. #include <stdio.h>
   
3. #include <iostream.h>
   
4. #include <tchar.h>
   
5. typedef bool (_stdcall *EnumProcesses)(DWORD* pProcessIds, DWORD cb, DWORD* pBytesReturned );
   
6. typedef bool (_stdcall *EnumProcessModules)(HANDLE hProcess,HMODULE* lphModule,DWORD cb,LPDWORD lpcbNeeded);
   
7. typedef DWORD  (_stdcall *GetModuleFileNameEx)( HANDLE hProcess, HMODULE hModule,LPTSTR lpFilename, DWORD nSize);
   
8. typedef DWORD (_stdcall *GetModuleBaseName)( HANDLE hProcess, HMODULE hModule, LPTSTR lpBaseName,  DWORD    nSize);
   
9. 
   
10. 
    
11. 
    
12. HMODULE h1=LoadLibrary("PSAPI.DLL");
    
13. EnumProcesses pEnumProcesses=(EnumProcesses)::GetProcAddress(h1,"EnumProcesses");  //注意大小写
    
14. EnumProcessModules pEnumProcessModules =(EnumProcessModules)GetProcAddress(h1, "EnumProcessModules");
    
15. GetModuleFileNameEx pGetModuleFileNameEx =(GetModuleFileNameEx)GetProcAddress(h1, "GetModuleFileNameExA");
    
16. GetModuleBaseName pGetModuleBaseName=(GetModuleBaseName)GetProcAddress(h1,"GetModuleBaseNameA");
    
17. 
    
18. 
    
19. 
    
20. //注意第三个函数名GetModuleFileNameExA，在Dll里有以A和W结尾区分函数，A指采用的是ANSI字符串方式，W则是UNICODE方式。于是，我们可以用下面的语句枚举进程：
    
21. 
    
22. bool RaisePrivilege()
    
23. {
    
24.         HANDLE hToken = NULL;
    
25.         bool bRes = OpenProcessToken( GetCurrentProcess(), TOKEN_ADJUST_PRIVILEGES, &hToken );
    
26.         if( !bRes )
    
27.         {
    
28.                 cout<<"OpenProcessToken"<<endl;
    
29.                 return false;
    
30.         }
    
31.         TOKEN_PRIVILEGES tps = {0};
    
32.         LookupPrivilegeValue( NULL, SE_DEBUG_NAME, &tps.Privileges[0].Luid );
    
33.         tps.PrivilegeCount = 1;
    
34.         tps.Privileges[0].Attributes = SE_PRIVILEGE_ENABLED;
    
35.        
    
36.         bRes = AdjustTokenPrivileges( hToken, false, &tps, sizeof(tps), NULL, NULL );
    
37.         if( bRes == 0 )
    
38.         {
    
39.                 cout<<"AdjustTokenPrivileges false"<<endl;
    
40.                 return false;
    
41.         }
    
42.        
    
43.         CloseHandle( hToken );
    
44.         return true;
    
45. }
    
46. 
    
47. void GetProcessPathById( DWORD PId )
    
48. {
    
49.         TCHAR szProcessName[MAX_PATH] = _T("_Unknow_");
    
50.         bool bRes = RaisePrivilege();
    
51.         if( bRes )
    
52.         {
    
53.                 HANDLE hProcess = OpenProcess( PROCESS_ALL_ACCESS, false, PId );
    
54.                 DWORD dw = GetLastError();
    
55.                 if( hProcess != NULL )
    
56.                 {
    
57.                         HMODULE hModule = NULL;
    
58.                         //DWORD dw = 0;
    
59.                         bool bGetModule = pEnumProcessModules( hProcess, &hModule, sizeof(HMODULE), &dw );
    
60. 
    
61.                         dw = GetLastError();
    
62.                         if( bGetModule )
    
63.                         {
    
64.                                 int len = pGetModuleBaseName( hProcess, hModule, szProcessName, sizeof(szProcessName)/sizeof(TCHAR) );
    
65.                                
    
66.                         }
    
67.                 }
    
68.                 CloseHandle( hProcess );
    
69.         }
    
70.         cout<<"PId:"<<PId<<"\t"<<"PathNam:"<<szProcessName<<endl;
    
71.        
    
72. }
    
73. 
    
74. void main()
    
75. {
    
76.         DWORD dProcessIds[1024] = {0};
    
77.         DWORD dRet = 0;
    
78.         DWORD dRes = 0;
    
79.        
    
80.         dRes = pEnumProcesses( dProcessIds, sizeof(dProcessIds), &dRet );
    
81.         if( dRes == 0 )
    
82.         {
    
83.                 cout<<"EnumProcesses1 False"<<endl;
    
84.                 return;
    
85.         }
    
86.         int ProcessNums = dRet/sizeof(DWORD);
    
87.        
    
88.         for( int i = 0; i < ProcessNums; i++ )
    
89.                 GetProcessPathById( dProcessIds[i] );
    
90.        
    
91.         cout<<"Process Nums:"<<ProcessNums<<endl;
    
92.         FreeLibrary(h1);
    
93. }

复制代码

1. #include "windows.h"
   
2. #include <stdio.h>
   
3. #include <iostream.h>
   
4. #include <tchar.h>
   
5. //声明一下psapi.dll中包含的这几个函数
   
6. typedef bool (_stdcall *EnumProcesses)( DWORD* pProcessIds, DWORD cb,DWORD* pBytesReturned );
   
7. typedef bool (_stdcall *EnumProcessModules)(HANDLE hProcess,HMODULE* lphModule,DWORD cb,LPDWORD lpcbNeeded
   
8. );
   
9. typedef DWORD  (_stdcall *GetModuleFileNameEx)( HANDLE hProcess, HMODULE hModule, LPTSTR lpFilename,DWORD nSize
   
10. );
    
11. typedef DWORD (_stdcall *GetModuleBaseName)(HANDLE hProcess,HMODULE hModule,LPTSTR lpBaseName,DWORD nSize
    
12. );
    
13. typedef DWORD  (_stdcall *GetProcessImageFileName)( HANDLE hProcess, LPTSTR lpImageFileName,  DWORD nSize );
    
14. 
    
15. 
    
16. 
    
17. 
    
18. 
    
19. HMODULE h1=LoadLibrary("PSAPI.DLL");
    
20. EnumProcesses pEnumProcesses=                 (EnumProcesses)::GetProcAddress(h1,"EnumProcesses");  //注意大小写
    
21. EnumProcessModules pEnumProcessModules =      (EnumProcessModules)GetProcAddress(h1, "EnumProcessModules");
    
22. GetModuleFileNameEx pGetModuleFileNameEx =    (GetModuleFileNameEx)GetProcAddress(h1, "GetModuleFileNameExA");
    
23. GetModuleBaseName pGetModuleBaseName=         
    
24. (GetModuleBaseName)GetProcAddress(h1,"GetModuleBaseNameA");
    
25. GetProcessImageFileName pGetProcessImageFileName=(GetProcessImageFileName)GetProcAddress(h1,"GetProcessImageFileNameA");
    
26. //注意第三个函数名GetModuleFileNameExA，在Dll里有以A和W结尾区分函数，A指采用的是ANSI字符串方式，W则是UNICODE方式。于是，我们可以用下面的语句枚举进程：
    
27. //不要忘记使用FreeLibrary 好多人都不使用
    
28. bool RaisePrivilege()
    
29. {
    
30.         HANDLE hToken = NULL;
    
31.         bool bRes = OpenProcessToken( GetCurrentProcess(), TOKEN_ADJUST_PRIVILEGES, &hToken );
    
32.         if( !bRes )
    
33.         {
    
34.                 cout<<"OpenProcessToken"<<endl;
    
35.                 return false;
    
36.         }
    
37.         TOKEN_PRIVILEGES tps = {0};
    
38.         LookupPrivilegeValue( NULL, SE_DEBUG_NAME, &tps.Privileges[0].Luid );
    
39.         tps.PrivilegeCount = 1;
    
40.         tps.Privileges[0].Attributes = SE_PRIVILEGE_ENABLED;
    
41.        
    
42.         bRes = AdjustTokenPrivileges( hToken, false, &tps, sizeof(tps), NULL, NULL );
    
43.         if( bRes == 0 )
    
44.         {
    
45.                 cout<<"AdjustTokenPrivileges false"<<endl;
    
46.                 return false;
    
47.         }
    
48.        
    
49.         CloseHandle( hToken );
    
50.         return true;
    
51. }
    
52. 
    
53. void GetProcessPathById( DWORD PId )
    
54. {
    
55.         TCHAR szProcessName[MAX_PATH] = _T("_Unknow_");
    
56.         bool bRes = RaisePrivilege();
    
57.         if( bRes )
    
58.         {
    
59.                 HANDLE hProcess = OpenProcess( PROCESS_ALL_ACCESS, false, PId );
    
60.                 DWORD dw = GetLastError();
    
61.                 if( hProcess != NULL )
    
62.                 {
    
63.                         HMODULE hModule = NULL;
    
64.                         //DWORD dw = 0;
    
65.                         bool bGetModule = pEnumProcessModules( hProcess, &hModule, sizeof(HMODULE), &dw );
    
66.                         dw = GetLastError();
    
67.                         if( bGetModule )
    
68.                         {
    
69.                                 int len = pGetModuleBaseName( hProcess, hModule, szProcessName, sizeof(szProcessName)/sizeof(TCHAR) );
    
70.                         }
    
71.                 }
    
72.                 CloseHandle( hProcess );
    
73.         }
    
74.         cout<<"PId:"<<PId<<"\t"<<"PathNam:"<<szProcessName<<endl;
    
75.        
    
76. }
    
77. 
    
78. void main()
    
79. {
    
80.         //提升进程权限
    
81.         RaisePrivilege();
    
82.         for( int i = 0; i <0xffff; i++ )
    
83.         {
    
84.                 HANDLE hProcess = OpenProcess( PROCESS_ALL_ACCESS, false, i );
    
85.                 if( hProcess )
    
86.                 {
    
87.                         char ProcessName[MAX_PATH] = {0};
    
88.                         pGetProcessImageFileName( hProcess, ProcessName, MAX_PATH );
    
89.                        
    
90.                         cout<<"PID:"<<i<<"\t"<<"Path:"<<ProcessName<<endl;
    
91.                 }
    
92.         }
    
93.         ::FreeLibrary(h1);
    
94. }

复制代码

1. #include "windows.h"
   
2. #include <stdio.h>
   
3. #include <iostream.h>
   
4. #include <tchar.h>
   
5. typedef struct _WTS_PROCESS_INFO {  
   
6.         DWORD SessionId;  
   
7.         DWORD ProcessId;  
   
8.         LPTSTR pProcessName;  
   
9.         PSID pUserSid;
   
10. } WTS_PROCESS_INFO,  *PWTS_PROCESS_INFO;
    
11. typedef HANDLE (_stdcall *WTSOpenServer)( LPTSTR pServerName );
    
12. 
    
13. typedef bool (_stdcall *WTSEnumerateProcesses)(HANDLE hServer, DWORD Reserved, DWORD Version, PWTS_PROCESS_INFO*  ppProcessInfo, DWORD* pCount);
    
14. //存放我们要的进程名和ID 存放ppProcessInfo里面WTS_PROCESS_INFO结构数量指针
    
15. 
    
16. 
    
17. 
    
18. HMODULE h1=LoadLibrary("wtsapi32.dll");
    
19. WTSOpenServer         pWTSOpenServer          =(WTSOpenServer)GetProcAddress(h1,"WTSOpenServerA");
    
20. WTSEnumerateProcesses pWTSEnumerateProcesses  =
    
21. (WTSEnumerateProcesses)GetProcAddress(h1,"WTSEnumerateProcessesA");
    
22. 
    
23. void main()
    
24. {
    
25.         char *szServerName="Li";  
    
26.         HANDLE        h2=pWTSOpenServer(szServerName);
    
27.         PWTS_PROCESS_INFO pWtspi;
    
28.         DWORD dwCount;
    
29.         if(!pWTSEnumerateProcesses(h2,0,1,&pWtspi,&dwCount))
    
30.         {
    
31.                 printf("enum process error: %d\n",GetLastError());
    
32.                 return;
    
33.         };
    
34.         for (int i=0; i<dwCount;i++)
    
35.         {
    
36.                 printf("PsId: %d\t\tPsName: %s\n",pWtspi[i].ProcessId,pWtspi[i].pProcessName);
    
37.         }
    
38.        
    
39. }
    
40. 
    
41. 
    
42. 
    
43. 
    
44. 
    
45. 
    
46. 
    
47. 
    
48. 
    

复制代码

KMSRussian

killvxk的驱动查进程：
1.native api获得进程表a
2.通过activelist获得进程表b
3.通过pspCidTable获得进程表c
4.通过handletablelisthead获得进程表d
5.通过csrss的handletable用2种方法枚举获得进程表e和f
6.通过扫描当前进程的handletable获得进程表g
7.遍历表c的每一个进程的SessionProcessLinks获得进程表h
8.遍历表c的每一个进程Vm.WorkingSetExpansionLinks获得进程表i
9.通过Typelist分别取process和thread的表j和表k
10.通过表k得到进程表l
11.搜索内存中的threadobject和processobject得到进程表m
12.通过Wait/Dispatch得到进程表n
13.如果系统是Win2003以上遍历表c的每一个进程的MmProcessLinks得到表o
14.综合上面的进程表得到表p
15.对表p每一个进程做HandleTable，Vm.WorkXX,MmProcessXX,SessionProcessList扫描得到表q
16.枚举HWNDHandle得到进程表r
17.枚举JobObject得到表s
18.综合得表t,此时枚举结束~~
有空再整理下 上面这些

Tesla.Angela

LZ好久没来了啊。

WIN64系统上在R0隐藏进程直接引发蓝屏，终结了“进程捉迷藏”这种无聊的游戏。