每个进程在内核中都有一个EPROCESS结构体的指针,此EPROCESS中记录着此进程的父进程ID,但当其父进程生命周期结束时,此进程的EPROCESS并不会更新其父进程ID。

当我们通过PROCESS_BASIC_INFORMATION获取到一个进程P1的父进程的ID时,获取到的其实是P1被创建时创建者进程P1CREATER的id,此时,进程P1CREATER可能已经退出了,而且很有可能此id已被其他进程P2复用了,如果我们在自己的的逻辑层认为此id所对应的进程P2就是我们要找的进程P1的父进程,是不对的,因为进程P1的父进程应该是是进程P1CREATER。

我们需要做的是进一步获取此id此刻所对应进程P2的创建时间和进程P1的创建时间,如果进程P2的创建时间比进程P1的创建时间晚,此id是一个被复用的id,它所对应的进程P2并不是进程P1的父进程,相反,如果进程P2的创建时间比进程P1的创建时间早,则此id所对应的进程P2就是创建进程P1的进程,也就是进程P1的父进程。

在windows的ntdll里面有个没文档化的函数NtQueryInformationProcess,可以获取进程的信息,其中就包括了进程的父进程PID

typedef struct tagPROCESS_BASIC_INFORMATION
{
	DWORD ExitStatus;
	DWORD PebBaseAddress;
	DWORD AffinityMask;
	DWORD BasePriority;
	ULONG UniqueProcessId;
	ULONG InheritedFromUniqueProcessId;
}PROCESS_BASIC_INFORMATION;

typedef enum enumSYSTEM_INFORMATION_CLASS
{
	SystemBasicInformation,
	SystemProcessorInformation,
	SystemPerformanceInformation,
	SystemTimeOfDayInformation,
}SYSTEM_INFORMATION_CLASS;

typedef LONG(WINAPI *PNTQUERYINFORMATIONPROCESS)(HANDLE, UINT, PVOID, ULONG, PULONG);
PNTQUERYINFORMATIONPROCESS  NtQueryInformationProcess = NULL;

int GetParentProcessID()
{
	LONG                      status;
	DWORD                     dwParentPID = 0;
	HANDLE                    hProcess;
	PROCESS_BASIC_INFORMATION pbi;

	hProcess = OpenProcess(PROCESS_QUERY_INFORMATION, FALSE, GetCurrentProcessId());
	if (!hProcess)
		return -1;
	NtQueryInformationProcess = (PNTQUERYINFORMATIONPROCESS)GetProcAddress(GetModuleHandle(L"ntdll"), "NtQueryInformationProcess");
	if (NtQueryInformationProcess == NULL)
	{
		return -1;
	}
	status = NtQueryInformationProcess(hProcess, SystemBasicInformation, (PVOID)&pbi, sizeof(PROCESS_BASIC_INFORMATION), NULL);
	if (!status)
		dwParentPID = pbi.InheritedFromUniqueProcessId;

	CloseHandle(hProcess);
	return dwParentPID;
}

在得到父进程的PID以后 要获取父进程名就很简单了

HANDLE h_Process = OpenProcess(PROCESS_QUERY_INFORMATION | PROCESS_VM_READ, FALSE, dwPid);

if (!h_Process)
{
    return FALSE;
}
TCHAR path[MAX_PATH] = {0};
GetModuleFileNameEx(h_Process, NULL, path, MAX_PATH + 1);

打赏