获取系统进程信息和进程依赖的dll信息--CreateToolhelp32Snapshot

CreateToolhelp32Snapshot函数通过获取进程信息为指定的进程、进程使用的堆[HEAP]、模块[MODULE]、 线程[THREAD]建立一个快照[snapshot]。

HANDLE WINAPI CreateToolhelp32Snapshot(

DWORD dwFlags, //用来指定“快照”中需要返回的对象，可以是TH32CS_SNAPPROCESS等

DWORD th32ProcessID //一个进程ID号，用来指定要获取哪一个进程的快照，当获取系统进程列表或获取当前进程快照时可以设为0

);

参数：

dwFlags

[输入]指定快照中包含的系统内容，这个参数能够使用下列数值（ 常量）中的一个或多个。

TH32CS_INHERIT - 声明快照句柄是可继承的。

TH32CS_SNAPALL - 在快照中包含系统中所有的进程和线程。

TH32CS_SNAPHEAPLIST - 在快照中包含在th32ProcessID中指定的进程的所有的堆。

TH32CS_SNAPMODULE - 在快照中包含在th32ProcessID中指定的进程的所有的模块。

TH32CS_SNAPPROCESS - 在快照中包含系统中所有的进程。

TH32CS_SNAPTHREAD - 在快照中包含系统中所有的线程。

Const TH32CS_SNAPHEAPLIST = &H1

Const TH32CS_SNAPPROCESS = &H2

Const TH32CS_SNAPTHREAD = &H4

Const TH32CS_SNAPMODULE = &H8

Const TH32CS_SNAPALL = (TH32CS_SNAPHEAPLIST | TH32CS_SNAPPROCESS | TH32CS_SNAPTHREAD | TH32CS_SNAPMODULE)

Const TH32CS_INHERIT = &H80000000

th32ProcessID

[输入]指定将要快照的进程ID。如果该参数为0表示快照当前进程。该参数只有在设置了TH32CS_SNAPHEAPLIST或者TH32CS_SNAPMODULE后才有效，在其他情况下该参数被忽略，所有的进程都会被 快照。

返回值：

调用成功，返回快照的句柄，调用失败，返回INVALID_HANDLE_VALUE 。

备注：

使用GetLastError函数查找该函数产生的错误状态码。

注意，在Win NT中，要删除快照，使用 CloseHandle函数； 在Win CE中，要删除快照，使用 CloseToolhelp32Snapshot函数 。

 

C++例子：

#include "stdafx.h"

#include <Windows.h>

#include <TlHelp32.h>

#include <stdio.h>

#include <psapi.h>

#pragma comment(lib, "psapi.lib")

int _tmain(int argc, _TCHAR* argv[])

{

    PROCESSENTRY32 pe32;//进程结构

    pe32.dwSize = sizeof(pe32); //在使用这个结构前,先设置它的大小

    //给系统内所有的进程拍个快照

    HANDLE hProcessSnap = ::CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS, 0);

    //某个进程所有的DLL快照句柄

    HANDLE hModuleSnap = NULL;

    if(hProcessSnap == INVALID_HANDLE_VALUE)

    {

        printf("CreateTollHelp32Snapshot Error!!\n");

        return -1;

    }

    BOOL bMore = ::Process32First(hProcessSnap, &pe32);

    HANDLE hProcess = 0;

    WCHAR procPath[_MAX_PATH]={0};

    MODULEENTRY32 lpme;  //DLL结构

    lpme.dwSize = sizeof(MODULEENTRY32);//在使用这个结构前,先设置它的大小

    BOOL bRet = FALSE;

    //遍历进程快照,显示每个进程的信息

    while(bMore)

    {

        //打开一个已存在的进程对象,并返回进程的句柄

        hProcess = OpenProcess(PROCESS_ALL_ACCESS,FALSE,pe32.th32ProcessID);

        //得到该进程的全路径

        GetModuleFileNameEx(hProcess,NULL,procPath, _MAX_PATH);

        wprintf(_T("ProcPath:%s\nProcName:%s\t\tProcID:%d\n\n"), procPath, pe32.szExeFile, pe32.th32ProcessID);

        //给一个已存在的进程内所有的DLL拍个快照

        hModuleSnap = ::CreateToolhelp32Snapshot(TH32CS_SNAPMODULE, pe32.th32ProcessID);

        bRet = ::Module32First(hModuleSnap, &lpme);

        //遍历DLL快照,显示该进程所加在的DLL信息

        while(bRet)

        {

            wprintf(_T("\t\tModual:%s\tBase:%2x\n"),lpme.szExePath, lpme.modBaseAddr);

            bRet = ::Module32Next(hModuleSnap, &lpme);

        }

        //关闭snapshot对象

        ::CloseHandle(hModuleSnap);

        bMore = ::Process32Next(hProcessSnap, &pe32);

    }

    //关闭snapshot对象

    ::CloseHandle(hProcessSnap);

    return 0;

}