网络安全编程：进程的暂停与恢复

在有些时候，不得不让进程处于暂停运行的状态。比如，病毒有两个运行的进程，它们在不断互相检测，当一个病毒进程发现另一个病毒进程被结束了，那么它会再次把被结束的那个病毒进程运行起来。由于两个病毒进程的互相检测频率较高，因此很难把两个病毒的进程结束掉。因此，只能让两个病毒进程都暂停后，再结束两个病毒的进程。

目前成都创新互联公司已为上1000家的企业提供了网站建设、域名、虚拟空间、网站托管、企业网站设计、玉龙网站维护等服务，公司将坚持客户导向、应用为本的策略，正道将秉承"和谐、参与、激情"的文化，与客户和合作伙伴齐心协力一起成长，共同发展。

进程的暂停实质上是线程的暂停，因为进程是一个资源容器，而真正占用CPU时间的是线程。如果需要将进程暂停，就需要将进程中所有的线程全部暂停。关于进程的暂停与恢复，实质是对进程中的全部线程进行暂停与恢复。

1. 暂停与恢复线程所需函数

让线程暂停所使用的API函数是SuspendThread()，其定义如下： 

 
 
 
    
  
  
  
  1. DWORD SuspendThread(  
    2. 
  
  
  
  2.  HANDLE hThread // handle to thread  
    3. 
  
  
  
  3. ); 
    4.

该函数只有一个参数，是要暂停线程的句柄。获得线程的句柄使用OpenThread()函数，该函数的定义如下： 

 
 
 
    
  
  
  
  1. HANDLE OpenThread(  
    2. 
  
  
  
  2.  DWORD dwDesiredAccess, // access right  
    3. 
  
  
  
  3.  BOOL bInheritHandle, // handle inheritance option 
    4. 
  
  
  
  4.  DWORD dwThreadId // thread identifier  
    5. 
  
  
  
  5. ); 
    6.

该函数的使用方法与OpenProcess()类似，只是第3个参数是dwThreadId，即线程ID。

OpenThread()函数在VC6默认提供的PSDK中是不存在的，必须安装更新高版本的PSDK才可以使用该函数。如果没有更新PSDK的版本，那么需要使用LoadLibrary()和GetProcAddress()来动态调用OpenThread()函数。如果使用更高版本的VC开发环境，那么OpenThread()函数可以直接使用。

要暂停进程中的全部线程，则离不开枚举线程。枚举线程的函数是Thread32First()和Thread32Next()两个。在枚举线程前，仍然要使用CreateToolhelp32Snapshot()函数来创建系统进程快照，但是该函数不能创建指定进程中的线程快照。因为不能创建指定进程中的线程快照，所以在暂停线程时，必须对枚举到的线程进行判断，判断其是否属于指定进程中的线程。在THREADENTRY32结构体中，th32ThreadID表示当前枚举到线程的线程ID，th32OwnerProcessID则表示线程所属的进程ID。这样，在枚举线程时，只要判断是否属于指定的进程，即可进行暂停操作。

与线程暂停相对的是恢复暂停的线程。恢复暂停的线程的函数是ResumeThread()，其定义如下： 

 
 
 
    
  
  
  
  1. DWORD ResumeThread(  
    2. 
  
  
  
  2.  HANDLE hThread // handle to thread  
    3. 
  
  
  
  3. ); 
    4.

该函数的使用方法与SuspendThread()一样。恢复暂停的线程的方式与暂停线程的方式类似，不再重复说明。

2. 线程暂停与恢复的代码

线程暂停的代码如下： 

 
 
 
    
  
  
  
  1. void CManageProcessDlg::OnBtnStop()  
    2. 
  
  
  
  2. {  
    3. 
  
  
  
  3.   // TODO: Add your control notification handler code here  
    4. 
  
  
  
  4.   int nPid = -1;  
    5. 
  
  
  
  5.   nPid = GetSelectPid();  
    6. 
  
  
  
  6.   // 进程 ID 为 0，则返回  
    7. 
  
  
  
  7.   if ( nPid == 0 )  
    8. 
  
  
  
  8.   {  
    9. 
  
  
  
  9.     return ;  
    10. 
  
  
  
  10.   }  
    11. 
  
  
  
  11.   // 创建线程快照  
    12. 
  
  
  
  12.   HANDLE hSnap = CreateToolhelp32Snapshot(TH32CS_SNAPTHREAD, nPid);  
    13. 
  
  
  
  13.   if ( hSnap == INVALID_HANDLE_VALUE ) 
    14. 
  
  
  
  14.   {  
    15. 
  
  
  
  15.     AfxMessageBox("CreateToolhelp32Snapshot Error");  
    16. 
  
  
  
  16.     return ;  
    17. 
  
  
  
  17.   }  
    18. 
  
  
  
  18.   THREADENTRY32 Te32 = { 0 };  
    19. 
  
  
  
  19.   Te32.dwSize = sizeof(THREADENTRY32);  
    20. 
  
  
  
  20.   BOOL bRet = Thread32First(hSnap, &Te32);  
    21. 
  
  
  
  21.   // 循环获取线程快照中的每一项  
    22. 
  
  
  
  22.   while ( bRet )  
    23. 
  
  
  
  23.   {  
    24. 
  
  
  
  24.     // 得到属于选中进程的线程  
    25. 
  
  
  
  25.     if ( Te32.th32OwnerProcessID == nPid )  
    26. 
  
  
  
  26.     {  
    27. 
  
  
  
  27.       // 打开线程  
    28. 
  
  
  
  28.       HANDLE hThread = OpenThread(THREAD_ALL_ACCESS,  
    29. 
  
  
  
  29.         FALSE, Te32.th32ThreadID); 
    30. 
  
  
  
  30.       // 暂停线程  
    31. 
  
  
  
  31.       SuspendThread(hThread);  
    32. 
  
  
  
  32.       CloseHandle(hThread);  
    33. 
  
  
  
  33.     }  
    34. 
  
  
  
  34.     bRet = Thread32Next(hSnap, &Te32);  
    35. 
  
  
  
  35.   }  
    36. 
  
  
  
  36.   CloseHandle(hSnap);  
    37. 
  
  
  
  37. } 
    38.

线程恢复的代码如下： 

 
 
 
    
  
  
  
  1. void CManageProcessDlg::OnBtnResume()  
    2. 
  
  
  
  2. {  
    3. 
  
  
  
  3.   // TODO: Add your control notification handler code here  
    4. 
  
  
  
  4.   int nPid = -1;  
    5. 
  
  
  
  5.   nPid = GetSelectPid();  
    6. 
  
  
  
  6.   // 进程 ID 为 0，则返回  
    7. 
  
  
  
  7.   if ( nPid == 0 )  
    8. 
  
  
  
  8.   {  
    9. 
  
  
  
  9.     return ;  
    10. 
  
  
  
  10.   }  
    11. 
  
  
  
  11.   // 创建线程快照  
    12. 
  
  
  
  12.   HANDLE hSnap = CreateToolhelp32Snapshot(TH32CS_SNAPTHREAD, nPid);  
    13. 
  
  
  
  13.   if ( hSnap == INVALID_HANDLE_VALUE )  
    14. 
  
  
  
  14.   {  
    15. 
  
  
  
  15.     AfxMessageBox("CreateToolhelp32Snapshot Error");  
    16. 
  
  
  
  16.     return ;  
    17. 
  
  
  
  17.   }  
    18. 
  
  
  
  18.   THREADENTRY32 Te32 = { 0 };  
    19. 
  
  
  
  19.   Te32.dwSize = sizeof(THREADENTRY32);  
    20. 
  
  
  
  20.   BOOL bRet = Thread32First(hSnap, &Te32);  
    21. 
  
  
  
  21.   // 循环获取线程快照中的每一项  
    22. 
  
  
  
  22.   while ( bRet )  
    23. 
  
  
  
  23.   {  
    24. 
  
  
  
  24.     // 得到属于选中进程的线程  
    25. 
  
  
  
  25.     if ( Te32.th32OwnerProcessID == nPid )  
    26. 
  
  
  
  26.     {  
    27. 
  
  
  
  27.       // 打开线程  
    28. 
  
  
  
  28.       HANDLE hThread = OpenThread(THREAD_ALL_ACCESS,  
    29. 
  
  
  
  29.         FALSE, Te32.th32ThreadID);  
    30. 
  
  
  
  30.       // 暂停线程  
    31. 
  
  
  
  31.       ResumeThread(hThread);  
    32. 
  
  
  
  32.       CloseHandle(hThread);  
    33. 
  
  
  
  33.     }  
    34. 
  
  
  
  34.     bRet = Thread32Next(hSnap, &Te32);  
    35. 
  
  
  
  35.   }  
    36. 
  
  
  
  36. } 
    37.

3. 系统相关辅助工具介绍

首先看一款关于进程管理的工具Process Explorer，该工具的界面如图1所示。

图1  Process Explorer界面

该软件的功能非常强大。当启动一个进程或者结束一个进程的时候，该软件会高亮显示被启动或结束的进程。当然，它的功能非常多。大家自己研究挖掘一下。这里重点介绍该工具的一个小功能，单击菜单“Option”->“Replace Task Manager”。该功能是用来替换系统的任务管理器，也就是将Process Explorer设为默认的任务管理器。请按照上述设置方法进行设置，然后按下Ctrl+Shift+Esc组合键试试，系统默认的任务管理器不见了，而显示的是Process Explorer，系统默认的任务管理器已经被Process Explorer所替换。如果想要还原到原来的任务管理器，只要再次单击“Replace Task Manager”菜单项就可以了。

替换任务管理器的功能是如何实现的呢？原理非常简单，就是对注册表做了手脚，但是如何知道对注册表做了什么样的改动呢？另外一个值得推荐的工具叫作RegMon，它是用来监控注册表变化的工具。该软件如图2所示。

图2  RegMon界面

打开RegMon工具后，按下Ctrl+L组合键会出现“RegMon Filter”界面，在“Include”中填入“procexp.exe”（procexp.exe是Process Explorer工具的文件名），如图3所示。

图3  RegMon Filter界面

对“RegMon Filter”界面设置完毕后，单击“OK”按钮确认，回到Process Explorer工具中，单击其菜单的“Replace Task Manager”菜单项，看RegMon捕获到的注册表信息，如图4和图5所示。

图4  Process Explorer修改注册表的项

图5  Process Explorer修改注册表键的值

打开注册表编辑器，查看被修改注册表键值的内容，如图6所示。

图6  注册表中被修改的值

在注册表中，HKLM\Software\Microsoft\Windows NT\CurrentVersion\ImageFileExecution\taskmgr.exe\debugger的值为D盘下的ProcExp.exe的文件（该文件是Process Explorer的文件名），将该键值删掉，再按下Ctrl+Shift+Esc键，默认的任务管理器出现了。这就是注册表中有名的映像劫持，这是很多病毒、木马等恶意程序常用的方法。大家可以自己在这里编写的任务管理器中添加替换系统任务管理器的功能以做练习。

网站栏目：网络安全编程：进程的暂停与恢复
标题路径：http://www.36103.cn/qtweb/news10/19360.html

网站建设、网络推广公司-创新互联，是专注品牌与效果的网站制作，网络营销seo公司；服务项目有等

广告

声明：本网站发布的内容（图片、视频和文字）以用户投稿、用户转载内容为主，如果涉及侵权请尽快告知，我们将会在第一时间删除。文章观点不代表本网站立场，如需处理请联系客服。电话：028-86922220；邮箱：631063699@qq.com。内容未经允许不得转载，或转载时需注明来源： 创新互联

猜你还喜欢下面的内容

Google知识

分类信息网

软文营销　　 　信衡房屋鉴定　　 　成都微信公众号开发　　 　手机网站制作　　 　营销网站定位　　 　名片　　 　成都网站建设公司　　 　成都ssl证书认证　　 　域名注册　　 　电商网站　　 　温江网站建设　　 　域名申请　　 　成都云主机　　 　小程序开发公司　　 　成都h5网站建设　　 　四川乐山服务器托管　　 　德阳东方电机技改服务有限公司　　 　成都网站推广　　 　公司网站建设　　 　温江网站设计