win32之进程概念
2021-07-13 12:07
标签:bsp 路径 wxs cmd fill env span file and 学习WindowsAPI. 之前.我们必须理解什么是进程. 在windows环境下.进程就是一个运行起来的exe程序 进程提供了数据以及资源. 但是怎么使用不管.而是由线程去管. 进程可以抽象为一栋房子. 而房子里面提供了日用品. 怎么使用它是不管的. 进程由很多DLL组成.我们可以拖动exe文件到win32dbg中查看. 快捷键 ALT + E 键.查看模块. 进程使用的内存空间是用户模式的内存空间. 什么是用户模式空间? 在windows中.进程的空间都是虚拟空间. 低2G空间是用户使用的. 高2G则是内核中使用. 而且是所有进程共享的.只有ring 3也就是用户模式的exe空间是独立的. 而高2G空间中.又分为高低64k空间. 这段内存是不能使用的. 例如下图: 我们使用快捷键ALT + M键可以看到.进程的资源.以及地址起始位置. 我们一个进程可以使用鼠标双击来创建.但是并不是你鼠标创建的.而是由桌面管理器来创建的. 在windows任务管理器中 (ctrl + alt + del / ctrl + shift + esc 调出) 如下图: 而它创建的时候.是通过API CreateProcess 进行创建的. 1.映射exe内存. 当调用CreateProcess的时候. 此时会把我们的exe映射到用户模式的虚拟内存中. 2.创建内核对象 EPROCESS 关于这点.熟悉内核驱动的应该知道.内核中EPROCESS是进程. ETHREAD是线程.不过如果不懂了解即可. 3.映射系统DLL 映射NTDLL. ntdll是系统dll每个进程都必须有这个ntdll. 4.创建ETHREAD 线程来执行代码. 我们知道进程只是提供资源数据代码而已. 但是怎么执行.是由线程来执行的. 通常我们会说主线程. 5.系统启动 5.1映射DLL 为什么还要映射.因为你程序需要的dll加载了.可是dll可能还是使用其他的dll.所以为了程序的执行.也一并加载进来. 5.2线程开始执行.这个时候就是开始执行我们代码了. 通过上面的原理我们知道了系统会调用CreateProcess进行创建进程. PS: 在windows系统中.我们使用API的时候其实是 A版本跟W版本. 例如CreateProcessA 但是为了兼容性.windows直接封装了宏. CreateProcess.表示A 版下调用的就是CreateProcessA. W版本则是W版本. 在这里主要参数是1 2 9 10参数 1.LpApplicationName 这个就是我们要创建的进程的路径. 2.lpCommandLine 这个就是命令行参数.如果我们要启动的程序带有命令行启动.那么这里填写参数即可. 9. lpStartupInfo 启动信息结构体. 这个结构体里面存储了要创建进程的一些信息.传入参数.我们可以指定.但是一般进程都有自己启动信息所以一般不设置.其中有一个成员比较重要. 10 lpProcessInfomation 进程信息结构体. 传出参数. 当我们创建进程完毕后.会得到进程的句柄.线程句柄. 进程id,线程id. 这个是个传出参数.表示返回值. 启动信息结构体解析. 关于这个结构.我们只需要知道第一个成员. 因为第一个成员必须我们给定.(其他也可以.但不是必须) 给定的是使用的当前结构体的大小.因为在windows程序中.很有可能扩展.为了扩展性.所以给一个成员指定一下.等以后结构体修改了.那么我们成员多大.windows就知道使用多大的结构体了. 进程信息结构体 其中重要了就这些成员了. 介绍几个常用的API函数. ZeroMemory(清零的地址,清零地址的大小) ; 这个API是使内存进行清零. 我们创建启动信息结构体的时候需要进行初始化使用. CloseHandle(句柄) 关闭句柄. 当CreateProcess创建进程完毕后会返回进程信息结构体. 里面的句柄如果不适用我们需要使用CloseHandle进行关闭. win32之进程概念 标签:bsp 路径 wxs cmd fill env span file and 原文地址:https://www.cnblogs.com/iBinary/p/9571577.html win32之进程
一丶简介
二丶探究原理跟本质.进程是如何创建的.
1.双击原理
2.原理.CreateProcess做了什么事情.
三丶进程创建CreateProcess解析
BOOL CreateProcessA(
LPCSTR lpApplicationName, //要创建的进程名称 完整路径+exe
LPSTR lpCommandLine, //命令行参数.
LPSECURITY_ATTRIBUTES lpProcessAttributes, //是否进行继承进程句柄
LPSECURITY_ATTRIBUTES lpThreadAttributes, //是否进行继承线程句柄
BOOL bInheritHandles, //是否进行继承句柄
DWORD dwCreationFlags, //程序创建的标志.
LPVOID lpEnvironment, //父进程环境变量
LPCSTR lpCurrentDirectory, //父进程当前目录.自己可以设置
LPSTARTUPINFOA lpStartupInfo, //启动信息结构体.
LPPROCESS_INFORMATION lpProcessInformation//进程信息结构体
);
typedef struct _STARTUPINFOA {
DWORD cb; 表示当前结构体的大小 重要成员
LPSTR lpReserved;
LPSTR lpDesktop;
LPSTR lpTitle;
DWORD dwX; 创建进程的x位置.y位置大小...
DWORD dwY;
DWORD dwXSize;
DWORD dwYSize;
DWORD dwXCountChars;
DWORD dwYCountChars;
DWORD dwFillAttribute;
DWORD dwFlags;
WORD wShowWindow;
WORD cbReserved2;
LPBYTE lpReserved2;
HANDLE hStdInput;
HANDLE hStdOutput;
HANDLE hStdError;
} STARTUPINFOA, *LPSTARTUPINFOA;
typedef struct _PROCESS_INFORMATION {
HANDLE hProcess; 返回的进程句柄
HANDLE hThread; 返回的线程句柄
DWORD dwProcessId; 返回的进程ID
DWORD dwThreadId; 返回的线程ID
} PROCESS_INFORMATION, *PPROCESS_INFORMATION, *LPPROCESS_INFORMATION;
四丶详细代码.
#include