侦听进程开始和结束
Listen For Process Start and End
我是Windows API编程的新手。我知道有一些方法可以检查进程是否已经在运行（通过枚举）。但是，我想知道是否有一种方法可以侦听进程何时开始和结束（例如，记事本.exe），然后在检测到该进程的开始或结束时执行一些操作。我假设可以为每个边际时间单位运行连续枚举和检查循环，但我想知道是否有更干净的解决方案。
使用 WMI、Win32_ProcessStartTrace 和 Win32_ProcessStopTrace 类。 此处提供了示例 C# 代码。
您需要编写等效的C++代码。 呃，这不是那么紧凑。 它主要是样板，生存指南可在此处获得。
如果可以在内核中运行代码，请选中检测 Windows NT/2K 进程执行。
Hans Passant可能给了你最好的答案，但是...... 用 C 或 C++ 编写速度慢且相当重量级。
在小于或等于Vista的Windows版本上，您可以使用Windows WH_CBT挂钩获得95%的覆盖率，可以使用SetWindowsHookEx进行设置。
有几个问题：
-
这会错过一些服务启动/停止，您可以通过保留正在运行的进程列表并偶尔扫描列表以查找更改来缓解这些启动/停止。 您不必在此列表中保留具有资源管理器.exe作为父/祖父进程的进程。 Christian Steiber 的 proc 句柄想法非常适合管理从表中删除 proc。
-
它错过了内核直接执行的内容。 这可以与 #1 相同的方式缓解。
- 有些行为不端的应用程序不遵循挂钩系统规则，这可能会导致您的应用程序错过通知。 同样，这可以通过保留流程表来缓解。
优点是它非常轻巧且易于编写。
对于Windows 7及更高版本，请查看SetWinEventHook。 我没有编写代码来涵盖Win7，所以我没有评论。
进程句柄实际上是你可以"等待"的对象，类似于"WaitForMultipleObjects"。
虽然它不发送某种通知，但您可以使用 MsgWaitForMultipleObjects（） 版本的调用将其与消息处理相结合，作为事件循环的一部分执行此操作。
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersion
Image File Execution Options
您可以在此处放置一个注册表项，其中包含您的进程名称，然后添加一个名为"调试器"的REG_SZ和您的 listner 应用程序名称以中继进程启动通知。
不幸的是，据我所知，接收进程退出没有这种零开销。
仅用于进程的开始，也可以轻松扩展以结束进程。
拿了克鲁兹发布的答案：
并用它制作了一个实际的事件调度程序：
ProcessCreatedEventDispatcher.h：
#pragma once
#include <functional>
#include <vector>
#include <Wbemidl.h>
#include <wrl.h>
using namespace Microsoft::WRL;
class ProcessCreatedEventDispatcher : public IWbemObjectSink {
public:
ProcessCreatedEventDispatcher();
~ProcessCreatedEventDispatcher();
ULONG STDMETHODCALLTYPE AddRef() override;
ULONG STDMETHODCALLTYPE Release() override;
HRESULT STDMETHODCALLTYPE QueryInterface(REFIID riid, void** ppv) override;
HRESULT STDMETHODCALLTYPE Indicate(LONG lObjectCount, IWbemClassObject __RPC_FAR* __RPC_FAR* apObjArray) override;
HRESULT STDMETHODCALLTYPE SetStatus(LONG lFlags, HRESULT hResult, BSTR strParam, IWbemClassObject __RPC_FAR* pObjParam) override;
using NewProcessCreatedListener = void(HANDLE ProcessHandle);
std::vector<std::function<NewProcessCreatedListener>> NewProcessCreatedListeners{};
private:
LONG m_lRef{};
ComPtr<IWbemServices> pSvc{};
ComPtr<IWbemLocator> pLoc{};
ComPtr<IUnsecuredApartment> pUnsecApp{};
ComPtr<IUnknown> pStubUnk{};
ComPtr<IWbemObjectSink> pStubSink{};
};
ProcessCreatedEventDispatcher.cpp：
#include "ProcessCreatedEventDispatcher.h"
# pragma comment(lib, "wbemuuid.lib")
#include <iostream>
#include <functional>
#include <string>
#include <vector>
#define _WIN32_DCOM
#include <Windows.h>
#include <comdef.h>
#include <Wbemidl.h>
#include <wrl.h>
using namespace std;
using namespace Microsoft::WRL;
ProcessCreatedEventDispatcher::ProcessCreatedEventDispatcher() {
HRESULT hres;
// Step 1: --------------------------------------------------
// Initialize COM. ------------------------------------------
hres = CoInitializeEx(0, COINIT_MULTITHREADED);
if(FAILED(hres)) {
cout << "Failed to initialize COM library. Error code = 0x" << hex << hres << endl;
return; // Program has failed.
}
// Step 2: --------------------------------------------------
// Set general COM security levels --------------------------
// Note: If you are using Windows 2000, you need to specify -
// the default authentication credentials for a user by using
// a SOLE_AUTHENTICATION_LIST structure in the pAuthList ----
// parameter of CoInitializeSecurity ------------------------
hres = CoInitializeSecurity(NULL,
-1, // COM negotiates service
NULL, // Authentication services
NULL, // Reserved
RPC_C_AUTHN_LEVEL_DEFAULT, // Default authentication
RPC_C_IMP_LEVEL_IMPERSONATE, // Default Impersonation
NULL, // Authentication info
EOAC_NONE, // Additional capabilities
NULL // Reserved
);
if(FAILED(hres)) {
cout << "Failed to initialize security. Error code = 0x" << hex << hres << endl;
CoUninitialize();
return; // Program has failed.
}
// Step 3: ---------------------------------------------------
// Obtain the initial locator to WMI -------------------------
hres = CoCreateInstance(CLSID_WbemLocator, 0, CLSCTX_INPROC_SERVER, IID_IWbemLocator, (LPVOID*)pLoc.GetAddressOf());
if(FAILED(hres)) {
cout << "Failed to create IWbemLocator object. " << "Err code = 0x" << hex << hres << endl;
CoUninitialize();
return; // Program has failed.
}
// Step 4: ---------------------------------------------------
// Connect to WMI through the IWbemLocator::ConnectServer method
// Connect to the local rootcimv2 namespace
// and obtain pointer pSvc to make IWbemServices calls.
hres = pLoc->ConnectServer(_bstr_t(L"root\CIMV2"),
NULL,
NULL,
0,
NULL,
0,
0,
&pSvc
);
if(FAILED(hres)) {
cout << "Could not connect. Error code = 0x" << hex << hres << endl;
pLoc->Release();
CoUninitialize();
return; // Program has failed.
}
cout << "Connected to root\CIMV2 WMI namespace" << endl;
// Step 5: --------------------------------------------------
// Set security levels on the proxy -------------------------
hres = CoSetProxyBlanket(pSvc.Get(), // Indicates the proxy to set
RPC_C_AUTHN_WINNT, // RPC_C_AUTHN_xxx
RPC_C_AUTHZ_NONE, // RPC_C_AUTHZ_xxx
NULL, // Server principal name
RPC_C_AUTHN_LEVEL_CALL, // RPC_C_AUTHN_LEVEL_xxx
RPC_C_IMP_LEVEL_IMPERSONATE, // RPC_C_IMP_LEVEL_xxx
NULL, // client identity
EOAC_NONE // proxy capabilities
);
if(FAILED(hres)) {
cout << "Could not set proxy blanket. Error code = 0x" << hex << hres << endl;
pSvc->Release();
pLoc->Release();
CoUninitialize();
return; // Program has failed.
}
// Step 6: -------------------------------------------------
// Receive event notifications -----------------------------
// Use an unsecured apartment for security
hres = CoCreateInstance(CLSID_UnsecuredApartment, NULL, CLSCTX_LOCAL_SERVER, IID_IUnsecuredApartment, (void**)&pUnsecApp);
this->ProcessCreatedEventDispatcher::AddRef();
pUnsecApp->CreateObjectStub(this, &pStubUnk);
pStubUnk->QueryInterface(IID_IWbemObjectSink, &pStubSink);
_bstr_t WQL = L"Select * From __InstanceCreationEvent Within 1 "
L"Where TargetInstance ISA 'Win32_Process' ";
// The ExecNotificationQueryAsync method will call
// The EventQuery::Indicate method when an event occurs
hres = pSvc->ExecNotificationQueryAsync(_bstr_t("WQL"), WQL, WBEM_FLAG_SEND_STATUS, NULL, pStubSink.Get());
// Check for errors.
if(FAILED(hres)) {
printf("ExecNotificationQueryAsync failed with = 0x%Xn", hres);
pSvc->Release();
pLoc->Release();
pUnsecApp->Release();
pStubUnk->Release();
this->ProcessCreatedEventDispatcher::Release();
pStubSink->Release();
CoUninitialize();
return;
}
}
ProcessCreatedEventDispatcher::~ProcessCreatedEventDispatcher() {
auto Result = pSvc->CancelAsyncCall(pStubSink.Get());
pSvc->Release();
pLoc->Release();
pUnsecApp->Release();
pStubUnk->Release();
this->ProcessCreatedEventDispatcher::Release();
pStubSink->Release();
CoUninitialize();
}
ULONG ProcessCreatedEventDispatcher::AddRef() {
return InterlockedIncrement(&m_lRef);
}
ULONG ProcessCreatedEventDispatcher::Release() {
LONG lRef = InterlockedDecrement(&m_lRef);
if(lRef == 0)
delete this;
return lRef;
}
HRESULT ProcessCreatedEventDispatcher::QueryInterface(REFIID riid, void** ppv) {
if(riid == IID_IUnknown || riid == IID_IWbemObjectSink) {
*ppv = (IWbemObjectSink*)this;
AddRef();
return WBEM_S_NO_ERROR;
}
else return E_NOINTERFACE;
}
HRESULT ProcessCreatedEventDispatcher::Indicate(long lObjectCount, IWbemClassObject** apObjArray) {
HRESULT hr = S_OK;
_variant_t vtProp;
std::string ProcessHandleString{};
for(int i = 0; i < lObjectCount; i++) {
hr = apObjArray[i]->Get(_bstr_t(L"TargetInstance"), 0, &vtProp, 0, 0);
if(!FAILED(hr)) {
ComPtr<IUnknown> str = static_cast<IUnknown*>(vtProp);
hr = str->QueryInterface(IID_IWbemClassObject, reinterpret_cast<void**>(&apObjArray[i]));
if(SUCCEEDED(hr)) {
_variant_t cn;
hr = apObjArray[i]->Get(L"Handle", 0, &cn, NULL, NULL);
if(SUCCEEDED(hr)) {
if((cn.vt == VT_NULL) || (cn.vt == VT_EMPTY))
std::cout << "Handle : " << ((cn.vt == VT_NULL) ? "NULL" : "EMPTY") << endl;
else if((cn.vt & VT_ARRAY))
std::cout << "Handle : " << "Array types not supported (yet)" << endl;
else {
std::wstring WideProcessHandle = std::wstring(cn.bstrVal);
ProcessHandleString = std::string(WideProcessHandle.begin(), WideProcessHandle.end());
for(auto& NewProcessCreatedListener : NewProcessCreatedListeners) {
NewProcessCreatedListener(reinterpret_cast<void*>(std::stoul(ProcessHandleString, nullptr)));
}
}
}
VariantClear(&cn);
}
}
VariantClear(&vtProp);
}
return WBEM_S_NO_ERROR;
}
HRESULT ProcessCreatedEventDispatcher::SetStatus(
/* [in] */ LONG lFlags,
/* [in] */ HRESULT hResult,
/* [in] */ BSTR strParam,
/* [in] */ IWbemClassObject __RPC_FAR* pObjParam
) {
if(lFlags == WBEM_STATUS_COMPLETE) {
printf("Call complete. hResult = 0x%Xn", hResult);
}
else if(lFlags == WBEM_STATUS_PROGRESS) {
printf("Call in progress.n");
}
return WBEM_S_NO_ERROR;
} // end of EventSink.cpp
这个类的使用非常简单：
#include <conio.h>
#include <iostream>
#include "ProcessCreatedEventDispatcher.h"
int main(int iArgCnt, char** argv) {
ProcessCreatedEventDispatcher ProcessCreatedEventDispatcher{};
ProcessCreatedEventDispatcher.NewProcessCreatedListeners.emplace_back([](auto ProcessHandle) {
std::cout << "New Process Handle: " << std::hex << "0x" << ProcessHandle << std::endl;
std::flush(std::cout);
});
// Wait for key press to exit the program
std::cout << "Press any key to terminate" << std::endl;
while(!_kbhit()) {}
return 0; // Program successfully completed.
}
有什么好处吗？我会说是的：模块化，RAII和基本的观察者设计模式。
相关文章：
- 根据用户输入用字母填充矢量，并将"开始"和"结束"放在四肢
- 如何在 c++ 中确定一条指令(以字节为单位）在哪里结束，另一条指令从哪里开始?
- 如何显示函数开始、结束行和函数体?
- C++ 从具有开始位置和结束位置的列表中删除
- C++程序从主程序开始执行并在主程序结束?
- 如何使用Chrono或ctime libaray输入设置的开始和结束时间
- 如何使用 AWS C++ 开发工具包在给定的开始和结束日期范围内列出 S3 中的文件
- 编写一个函数，在开始和结束处添加括号，使所有括号匹配并返回
- 如何通过指定开始值、结束值和步骤来生成值序列
- 如何获取由 new 创建的数组的开始和结束
- 是否可以在基于范围的 for 循环中使用模板化的开始/结束方法
- 重写自定义数组类的运算符/开始/结束
- f流删除特定的开始到结束行
- 取代表开始/结束的数字对，并删除重叠
- 如何将迭代器(包括结束和开始之前的迭代器）测试到列表或forward_list保持有效
- 设置从文件中读取的开始和结束限制
- 为什么 std::variant 使用开始和结束迭代器进行编译?
- 如何为一个类提供多个开始/结束代理
- 如何有效地从C++集中删除开始和结束元素
- 加权图的开始和结束的最短路径
