pe工具01-获取进程和模块

1.目标

需要实现一个pe文件的查看工具；

左边有两个listview；

上方是进程列表，下方是模块列表，进程列表中显示当前运行的所有进程信息；

点击进程列表中的某一个进程，在模块列表中显示该进程的所有模块信息；

点击右边的pe查看，先选一个pe文件，然后会弹出另一个窗口，显示该pe文件的信息；

 

2.需求分析

1）画界面

建一个win32窗口程序；

可以用资源脚本来建窗口，在工程中新建-》资源脚本-》拖控件；

有两个列表窗口，分别用来显示进程信息和pe文件信息；需要两个listview控件；

listview是win32通用控件，使用时需要加载comctl32.lib，并且要处理WM_NOTIFY消息；

 

2）进程遍历

要得到进程信息，需要用windows提供的api函数获取所有进程；

然后将进程信息写到listview中；

获取进程的步骤：

    1】引入头文件tlhelp32.h；

    2】获取进程快照

        HWND pHandle = CreateToolhelp32Snapshot(0x2,0x0);    

    3】Process32Next(pHandle,&proc) 获取进程信息；

        进程信息保存在PROCESSENTRY32结构中，是函数的第二个out参数；

        函数的第一个参数为进程快照句柄；

        当进程快照中没有下一个进程时，函数返回0；           

 

PROCESSENTRY32   结构如下：    

 

 typedef   struct   tagPROCESSENTRY32   {    
  DWORD   dwSize;   //   结构大小；    
  DWORD   cntUsage;   //   此进程的引用计数；    
  DWORD   th32ProcessID;   //   进程ID;    
  DWORD   th32DefaultHeapID;   //   进程默认堆ID；    
  DWORD   th32ModuleID;   //   进程模块ID；    
  DWORD   cntThreads;   //   此进程开启的线程计数；    
  DWORD   th32ParentProcessID;//   父进程ID；    
  LONG   pcPriClassBase;   //   线程优先权；    
  DWORD   dwFlags;   //   保留；    
  char   szExeFile[MAX_PATH];   //   进程全名；    
  }   PROCESSENTRY32;

 

3）遍历进程的模块

点击一个进程，需要在下方的listview中显示该进程的所有模块信息；

因此需要遍历进程的模块；

需要用到windows提供的api函数；函数需要的参数为进程的pid；

为了知道pid，首先要知道是进程列表的那一行被点击；然后获取该行中表示pid的那一列；

判断那一行被点击需要处理WM_NOTIFY消息，通用控件都需要处理WM_NOTIFY；

也就是判断WM_NOTIFY消息的附加参数，条件为：进程的listview被点击，并且是右键点击时遍历模块；

 

遍历模块：

    通过SendMessage发LVM_GETNEXTITEM消息，参数为LVNI_SELECTED，找到点击的是那一行；    

    然后SendMessage发LVM_GETITEMTEXT消息，传递行号和列号，找到该列的值即PID；

    得到了进程PID就可以得到该进程模块信息，放到下方的listview即可；

    通过进程pid获取该进程的快照，然后用 Module32Next遍历进程快照，模块信息保存在MODULEENTRY32结构中；

 

MODULEENTRY32结构：

typedef struct tagMODULEENTRY32 {
  DWORD   dwSize;
  DWORD   th32ModuleID;
  DWORD   th32ProcessID;
  DWORD   GlblcntUsage;
  DWORD   ProccntUsage;
  BYTE  * modBaseAddr;
  DWORD   modBaseSize;
  HMODULE hModule;
  TCHAR   szModule[MAX_MODULE_NAME32 + 1];
  TCHAR   szExePath[MAX_PATH];
} MODULEENTRY32;
typedef MODULEENTRY32 *PMODULEENTRY32;

 

4）坑

因为没有权限，有一些进程无法得到模块快照；

 

3.实现代码

#include <windows.h>
#include <stdio.h>
#include <commctrl.h>
#include <tlhelp32.h>
#include "resource.h"
 
#pragma comment(lib,"comctl32.lib")
 
HINSTANCE hAppInstance;
 
//提升进程权限
BOOL EnableDebugPrivilege()
{
    HANDLE hToken;
    LUID Luid;
    TOKEN_PRIVILEGES tp;
    if (!OpenProcessToken(GetCurrentProcess(), TOKEN_ADJUST_PRIVILEGES | TOKEN_QUERY, &hToken))return FALSE;
    if (!LookupPrivilegeValue(NULL, SE_DEBUG_NAME, &Luid))
    {
        CloseHandle(hToken);
        return FALSE;
    }
    tp.PrivilegeCount = 1;
    tp.Privileges[0].Luid = Luid;
    tp.Privileges[0].Attributes = SE_PRIVILEGE_ENABLED;
    if (!AdjustTokenPrivileges(hToken, false, &tp, sizeof(tp), NULL, NULL))
    {
        CloseHandle(hToken);
        return FALSE;
    }
    CloseHandle(hToken);
    return TRUE;
}
 
//遍历进程
void enumProc(HWND hListProcess){
    ListView_DeleteAllItems(hListProcess);
 
    HANDLE pHandle;
    PROCESSENTRY32 proc;
    DWORD procId;
    pHandle = CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS,0x0);
    if(pHandle==INVALID_HANDLE_VALUE){
        return;
    }
    proc.dwSize = sizeof(PROCESSENTRY32);
 
    //给listview添加行
    int i = 0;
    while(Process32Next(pHandle,&proc)){
        LV_ITEM vitem;                
        //初始化                
        memset(&vitem,0,sizeof(LV_ITEM));                
        vitem.mask = LVIF_TEXT;                
        
        //获取进程名
        vitem.pszText = proc.szExeFile;    //值                
        vitem.iItem = i;                //行                
        vitem.iSubItem = 0;                //列
        //ListView_InsertItem(hListProcess, &vitem);    //一个宏和SendMessage作用一样                
        SendMessage(hListProcess, LVM_INSERTITEM,0,(DWORD)&vitem);    //如果用SendMessage,给第一列赋值用LVM_INSERTITEM，其它列用LVM_SETITEM，用ListView同理                
         
        //获取进程ID
        TCHAR szPID[10] = {0};
        sprintf(szPID,"%d",proc.th32ProcessID);    //数字转字符串
        vitem.pszText = szPID;                
        vitem.iItem = i;                
        vitem.iSubItem = 1;                
        ListView_SetItem(hListProcess, &vitem);                
         
        TCHAR szImageBase[0x20];    //进程基址
        memset(szImageBase, 0, 0x20);
        TCHAR szImageSize[0x20];    //进程大小
        memset(szImageSize, 0, 0x20);
 
        MODULEENTRY32 me32 = { 0 };
        me32.dwSize = sizeof(MODULEENTRY32);
        HANDLE hModuleSnap = ::CreateToolhelp32Snapshot(TH32CS_SNAPMODULE, proc.th32ProcessID);
        if(hModuleSnap != INVALID_HANDLE_VALUE){
            // 获取模块快照中第一条信息
            if(Module32First(hModuleSnap, &me32)){
                DWORD pProcessImageBase = (DWORD)me32.modBaseAddr;
                sprintf(szImageBase,"%08x",pProcessImageBase);;
 
                DWORD pProcessSize = (DWORD)me32.modBaseSize;
                sprintf(szImageSize,"%08x",pProcessSize);
            }
        }
        // 关闭句柄
        ::CloseHandle(hModuleSnap);
 
        //获取像基址
        vitem.pszText = szImageBase;                 
        vitem.iItem = i;                
        vitem.iSubItem = 2;                
        ListView_SetItem(hListProcess, &vitem);                
         
        //获取镜像大小
        vitem.pszText = szImageSize;                
        vitem.iItem = i;                
        vitem.iSubItem = 3;                
        ListView_SetItem(hListProcess, &vitem);                
        
        i++;
    }
    CloseHandle(pHandle);
    return;
}
 
//初始化进程窗口，就是给ListView控件添加列
void initProcessView(HWND hDlg){
    LV_COLUMN lv;                                
    HWND hListProcess;                                
                                
    //初始化，局部变量堆栈中分配，不知道是什么数据所以先清零                                
    memset(&lv,0,sizeof(LV_COLUMN));                                
    //获取listview控件句柄                                
    hListProcess = GetDlgItem(hDlg,IDC_PROC);                                
    //设置整行选中，窗口是windows来管理的无法直接操作，程序能做的只能发送一个消息来让windows直到该怎么做                                
    SendMessage(hListProcess,LVM_SETEXTENDEDLISTVIEWSTYLE,LVS_EX_FULLROWSELECT,LVS_EX_FULLROWSELECT);                                
                                
    //第一列                                
    lv.mask = LVCF_TEXT | LVCF_WIDTH | LVCF_SUBITEM;                                
    lv.pszText = TEXT("进程");                //列标题                
    lv.cx = 150;                                //列宽
    lv.iSubItem = 0;                                
    //ListView_InsertColumn(hListProcess, 0, &lv);                                
    SendMessage(hListProcess,LVM_INSERTCOLUMN,0,(DWORD)&lv);                                
    //第二列                                
    lv.pszText = TEXT("PID");                                
    lv.cx = 90;                                
    lv.iSubItem = 1;                                
    //ListView_InsertColumn(hListProcess, 1, &lv);                                
    SendMessage(hListProcess,LVM_INSERTCOLUMN,1,(DWORD)&lv);                                
    //第三列                                
    lv.pszText = TEXT("镜像基址");                                
    lv.cx = 100;                                
    lv.iSubItem = 2;                                
    ListView_InsertColumn(hListProcess, 2, &lv);                                
    //第四列                                
    lv.pszText = TEXT("镜像大小");                                
    lv.cx = 115;                                
    lv.iSubItem = 3;                                
    ListView_InsertColumn(hListProcess, 3, &lv);
    
    enumProc(hListProcess);
}
 
//遍历模块
void enumModule(HWND hListModule, HWND hListProcess, WPARAM wParam, LPARAM lParam){
    DWORD rowId;
    LV_ITEM lv;
    TCHAR pid[0x20];
    memset(&lv, 0, sizeof(lv));
    memset(pid, 0, 0x20);
    
    //获取行
    rowId = ::SendMessage(hListProcess, LVM_GETNEXTITEM, -1, LVNI_SELECTED);    //获取选中的listview行号
    if(rowId == -1){
        MessageBox(NULL, TEXT("请选择进程"), TEXT("错误"), MB_OK);
    }
    //获取pid
    lv.iSubItem = 1;
    lv.pszText = pid;
    lv.cchTextMax = 0x20;
    ::SendMessage(hListProcess, LVM_GETITEMTEXT, rowId, (DWORD)&lv);    //获取列的值
    //MessageBox(NULL, pid, TEXT("进程id"), MB_OK);
    
    //根据pid获取模块信息并存储到下方的list行中
    DWORD procId;
    sscanf( pid, "%d", &procId );
    
    ListView_DeleteAllItems(hListModule);
 
    HANDLE hModuleSnap = INVALID_HANDLE_VALUE;
    MODULEENTRY32 me32;
 
    hModuleSnap = ::CreateToolhelp32Snapshot(TH32CS_SNAPMODULE, procId);
    if(hModuleSnap != INVALID_HANDLE_VALUE){
        int i = 0;
        while(Module32Next(hModuleSnap, &me32)){
            //模块名
            lv.pszText = me32.szModule;                 
            lv.iItem = i;                
            lv.iSubItem = 0;                
            ListView_InsertItem(hListModule, &lv);
 
            //模块路径
            lv.pszText = me32.szExePath;                 
            lv.iItem = i;                
            lv.iSubItem = 1;                
            ListView_SetItem(hListModule, &lv);
 
            i++;
        }
    }
    return;
}
 
//初始化模块窗口
void initModuleView(HWND hDlg){
    LV_COLUMN lv;                                
    HWND hListModule;                                
                                
    //初始化，局部变量堆栈中分配，不知道是什么数据所以先清零                                
    memset(&lv,0,sizeof(LV_COLUMN));                                
    //获取listview控件句柄                                
    hListModule = GetDlgItem(hDlg,IDC_DLL);                                
    //设置整行选中，窗口是windows来管理的无法直接操作，程序能做的只能发送一个消息来让windows直到该怎么做                                
    SendMessage(hListModule,LVM_SETEXTENDEDLISTVIEWSTYLE,LVS_EX_FULLROWSELECT,LVS_EX_FULLROWSELECT);                                
                                
    //第一列                                
    lv.mask = LVCF_TEXT | LVCF_WIDTH | LVCF_SUBITEM;                                
    lv.pszText = TEXT("模块名");                //列标题                
    lv.cx = 150;                                //列宽
    lv.iSubItem = 0;                                
    //ListView_InsertColumn(hListProcess, 0, &lv);                                
    SendMessage(hListModule,LVM_INSERTCOLUMN,0,(DWORD)&lv);                                
    //第二列                                
    lv.pszText = TEXT("模块位置");                                
    lv.cx = 305;                                
    lv.iSubItem = 1;                                
    //ListView_InsertColumn(hListProcess, 1, &lv);                                
    SendMessage(hListModule,LVM_INSERTCOLUMN,1,(DWORD)&lv);                                
}
 
 
//消息处理回调函数
BOOL CALLBACK DialogProc(                                    
                         HWND hwndDlg,  // handle to dialog box            
                         UINT uMsg,     // message            
                         WPARAM wParam, // first message parameter            
                         LPARAM lParam  // second message parameter            
                         )            
{      
    HICON hicon_big;
    HICON hicon_small;
 
    switch(uMsg)                                
    {    
    case WM_INITDIALOG :
        //加载图标
        hicon_big = ::LoadIcon(hAppInstance, MAKEINTRESOURCE(IDI_ICON_BIG));
        hicon_small = ::LoadIcon(hAppInstance, MAKEINTRESOURCE(IDI_ICON_SMALL));
        SendMessage(hwndDlg, WM_SETICON, ICON_BIG, (DWORD)hicon_big);
        SendMessage(hwndDlg, WM_SETICON, ICON_SMALL, (DWORD)hicon_small);
        
        //初始化列表
        initProcessView(hwndDlg);
        initModuleView(hwndDlg);
        return TRUE;     
                                    
    case  WM_COMMAND :    
        switch (LOWORD (wParam))                            
        {  
            case BTN_OUT:
                EndDialog(hwndDlg, 0);                        
                return TRUE;              
        }  
                                                             
        break ;   
        
    case  WM_NOTIFY :
        {
            NMHDR* pNmhdr = (NMHDR*) lParam;
            if(wParam == IDC_PROC && pNmhdr->code == NM_CLICK){
                enumModule(::GetDlgItem(hwndDlg, IDC_DLL), ::GetDlgItem(hwndDlg, IDC_PROC), wParam, lParam);        //遍历模块，传递进程窗口句柄和两个消息附加参数
            }
        
        }
        break;
 
    case WM_CLOSE:
        EndDialog(hwndDlg, 0);                        
        return TRUE;  
    }  
                                    
    return FALSE ;                                
}   
 
//主窗口
int CALLBACK WinMain(
            HINSTANCE hInstance,    
            HINSTANCE hPrevInstance,
            LPSTR lpCmdLine,    
            int nCmdShow
        ){
    hAppInstance = hInstance;
 
    //加载通用控件
    INITCOMMONCONTROLSEX icex;                
    icex.dwSize = sizeof(INITCOMMONCONTROLSEX);                
    icex.dwICC = ICC_WIN95_CLASSES;                
    InitCommonControlsEx(&icex);
 
    //提权
    EnableDebugPrivilege();
 
    //画弹框
    DialogBox(
        hInstance,
        MAKEINTRESOURCE(IDD_MAIN),
        NULL,
        DialogProc
    );
    return 0;
}