[[384233]]

在有些時(shí)候，不得不讓進(jìn)程處于暫停運(yùn)行的狀態(tài)。比如，病毒有兩個(gè)運(yùn)行的進(jìn)程，它們在不斷互相檢測，當(dāng)一個(gè)病毒進(jìn)程發(fā)現(xiàn)另一個(gè)病毒進(jìn)程被結(jié)束了，那么它會(huì)再次把被結(jié)束的那個(gè)病毒進(jìn)程運(yùn)行起來。由于兩個(gè)病毒進(jìn)程的互相檢測頻率較高，因此很難把兩個(gè)病毒的進(jìn)程結(jié)束掉。因此，只能讓兩個(gè)病毒進(jìn)程都暫停后，再結(jié)束兩個(gè)病毒的進(jìn)程。

進(jìn)程的暫停實(shí)質(zhì)上是線程的暫停，因?yàn)檫M(jìn)程是一個(gè)資源容器，而真正占用CPU時(shí)間的是線程。如果需要將進(jìn)程暫停，就需要將進(jìn)程中所有的線程全部暫停。關(guān)于進(jìn)程的暫停與恢復(fù)，實(shí)質(zhì)是對(duì)進(jìn)程中的全部線程進(jìn)行暫停與恢復(fù)。

1. 暫停與恢復(fù)線程所需函數(shù)

讓線程暫停所使用的API函數(shù)是SuspendThread()，其定義如下： 

DWORD SuspendThread(  
 HANDLE hThread // handle to thread  
); 

該函數(shù)只有一個(gè)參數(shù)，是要暫停線程的句柄。獲得線程的句柄使用OpenThread()函數(shù)，該函數(shù)的定義如下： 

HANDLE OpenThread(  
 DWORD dwDesiredAccess, // access right  
 BOOL bInheritHandle, // handle inheritance option 
 DWORD dwThreadId // thread identifier  
); 

該函數(shù)的使用方法與OpenProcess()類似，只是第3個(gè)參數(shù)是dwThreadId，即線程ID。

OpenThread()函數(shù)在VC6默認(rèn)提供的PSDK中是不存在的，必須安裝更新高版本的PSDK才可以使用該函數(shù)。如果沒有更新PSDK的版本，那么需要使用LoadLibrary()和GetProcAddress()來動(dòng)態(tài)調(diào)用OpenThread()函數(shù)。如果使用更高版本的VC開發(fā)環(huán)境，那么OpenThread()函數(shù)可以直接使用。

要暫停進(jìn)程中的全部線程，則離不開枚舉線程。枚舉線程的函數(shù)是Thread32First()和Thread32Next()兩個(gè)。在枚舉線程前，仍然要使用CreateToolhelp32Snapshot()函數(shù)來創(chuàng)建系統(tǒng)進(jìn)程快照，但是該函數(shù)不能創(chuàng)建指定進(jìn)程中的線程快照。因?yàn)椴荒軇?chuàng)建指定進(jìn)程中的線程快照，所以在暫停線程時(shí)，必須對(duì)枚舉到的線程進(jìn)行判斷，判斷其是否屬于指定進(jìn)程中的線程。在THREADENTRY32結(jié)構(gòu)體中，th32ThreadID表示當(dāng)前枚舉到線程的線程ID，th32OwnerProcessID則表示線程所屬的進(jìn)程ID。這樣，在枚舉線程時(shí)，只要判斷是否屬于指定的進(jìn)程，即可進(jìn)行暫停操作。

與線程暫停相對(duì)的是恢復(fù)暫停的線程?；謴?fù)暫停的線程的函數(shù)是ResumeThread()，其定義如下： 

DWORD ResumeThread(  
 HANDLE hThread // handle to thread  
); 

該函數(shù)的使用方法與SuspendThread()一樣?；謴?fù)暫停的線程的方式與暫停線程的方式類似，不再重復(fù)說明。

2. 線程暫停與恢復(fù)的代碼

線程暫停的代碼如下： 

void CManageProcessDlg::OnBtnStop()  
{  
  // TODO: Add your control notification handler code here  
  int nPid = -1;  
  nPid = GetSelectPid();  
  // 進(jìn)程 ID 為 0，則返回  
  if ( nPid == 0 )  
  {  
    return ;  
  }  
  // 創(chuàng)建線程快照  
  HANDLE hSnap = CreateToolhelp32Snapshot(TH32CS_SNAPTHREAD, nPid);  
  if ( hSnap == INVALID_HANDLE_VALUE ) 
  {  
    AfxMessageBox("CreateToolhelp32Snapshot Error");  
    return ;  
  }  
  THREADENTRY32 Te32 = { 0 };  
  Te32.dwSize = sizeof(THREADENTRY32);  
  BOOL bRet = Thread32First(hSnap, &Te32);  
  // 循環(huán)獲取線程快照中的每一項(xiàng)  
  while ( bRet )  
  {  
    // 得到屬于選中進(jìn)程的線程  
    if ( Te32.th32OwnerProcessID == nPid )  
    {  
      // 打開線程  
      HANDLE hThread = OpenThread(THREAD_ALL_ACCESS,  
        FALSE, Te32.th32ThreadID); 
      // 暫停線程  
      SuspendThread(hThread);  
      CloseHandle(hThread);  
    }  
    bRet = Thread32Next(hSnap, &Te32);  
  }  
  CloseHandle(hSnap);  
} 

線程恢復(fù)的代碼如下： 

void CManageProcessDlg::OnBtnResume()  
{  
  // TODO: Add your control notification handler code here  
  int nPid = -1;  
  nPid = GetSelectPid();  
  // 進(jìn)程 ID 為 0，則返回  
  if ( nPid == 0 )  
  {  
    return ;  
  }  
  // 創(chuàng)建線程快照  
  HANDLE hSnap = CreateToolhelp32Snapshot(TH32CS_SNAPTHREAD, nPid);  
  if ( hSnap == INVALID_HANDLE_VALUE )  
  {  
    AfxMessageBox("CreateToolhelp32Snapshot Error");  
    return ;  
  }  
  THREADENTRY32 Te32 = { 0 };  
  Te32.dwSize = sizeof(THREADENTRY32);  
  BOOL bRet = Thread32First(hSnap, &Te32);  
  // 循環(huán)獲取線程快照中的每一項(xiàng)  
  while ( bRet )  
  {  
    // 得到屬于選中進(jìn)程的線程  
    if ( Te32.th32OwnerProcessID == nPid )  
    {  
      // 打開線程  
      HANDLE hThread = OpenThread(THREAD_ALL_ACCESS,  
        FALSE, Te32.th32ThreadID);  
      // 暫停線程  
      ResumeThread(hThread);  
      CloseHandle(hThread);  
    }  
    bRet = Thread32Next(hSnap, &Te32);  
  }  
} 

3. 系統(tǒng)相關(guān)輔助工具介紹

首先看一款關(guān)于進(jìn)程管理的工具Process Explorer，該工具的界面如圖1所示。

圖1  Process Explorer界面

該軟件的功能非常強(qiáng)大。當(dāng)啟動(dòng)一個(gè)進(jìn)程或者結(jié)束一個(gè)進(jìn)程的時(shí)候，該軟件會(huì)高亮顯示被啟動(dòng)或結(jié)束的進(jìn)程。當(dāng)然，它的功能非常多。大家自己研究挖掘一下。這里重點(diǎn)介紹該工具的一個(gè)小功能，單擊菜單“Option”->“Replace Task Manager”。該功能是用來替換系統(tǒng)的任務(wù)管理器，也就是將Process Explorer設(shè)為默認(rèn)的任務(wù)管理器。請(qǐng)按照上述設(shè)置方法進(jìn)行設(shè)置，然后按下Ctrl+Shift+Esc組合鍵試試，系統(tǒng)默認(rèn)的任務(wù)管理器不見了，而顯示的是Process Explorer，系統(tǒng)默認(rèn)的任務(wù)管理器已經(jīng)被Process Explorer所替換。如果想要還原到原來的任務(wù)管理器，只要再次單擊“Replace Task Manager”菜單項(xiàng)就可以了。

替換任務(wù)管理器的功能是如何實(shí)現(xiàn)的呢？原理非常簡單，就是對(duì)注冊表做了手腳，但是如何知道對(duì)注冊表做了什么樣的改動(dòng)呢？另外一個(gè)值得推薦的工具叫作RegMon，它是用來監(jiān)控注冊表變化的工具。該軟件如圖2所示。

圖2  RegMon界面

打開RegMon工具后，按下Ctrl+L組合鍵會(huì)出現(xiàn)“RegMon Filter”界面，在“Include”中填入“procexp.exe”（procexp.exe是Process Explorer工具的文件名），如圖3所示。

圖3  RegMon Filter界面

對(duì)“RegMon Filter”界面設(shè)置完畢后，單擊“OK”按鈕確認(rèn)，回到Process Explorer工具中，單擊其菜單的“Replace Task Manager”菜單項(xiàng)，看RegMon捕獲到的注冊表信息，如圖4和圖5所示。

圖4  Process Explorer修改注冊表的項(xiàng)

圖5  Process Explorer修改注冊表鍵的值

打開注冊表編輯器，查看被修改注冊表鍵值的內(nèi)容，如圖6所示。

圖6  注冊表中被修改的值

在注冊表中，HKLM\Software\Microsoft\Windows NT\CurrentVersion\ImageFileExecution\taskmgr.exe\debugger的值為D盤下的ProcExp.exe的文件（該文件是Process Explorer的文件名），將該鍵值刪掉，再按下Ctrl+Shift+Esc鍵，默認(rèn)的任務(wù)管理器出現(xiàn)了。這就是注冊表中有名的映像劫持，這是很多病毒、木馬等惡意程序常用的方法。大家可以自己在這里編寫的任務(wù)管理器中添加替換系統(tǒng)任務(wù)管理器的功能以做練習(xí)。