检测 "suspended" Windows 8/10 进程

Question

UWP（或"Metro"）Windows 8/10 中的应用程序不在前台时可以暂停。处于此状态的应用程序继续存在，但不再消耗 CPU 时间。引入此更改似乎是为了提高 low-power/storage 设备（如平板电脑和手机）的性能。

检测处于这种状态的进程最优雅、最简单的方法是什么？

目前我可以看到 2 种可能的解决方案：

调用 NtQuerySystemInformation() 并枚举每个进程和每个线程。如果所有线程都处于挂起状态，则进程为 "suspended"。这种方法将需要大量代码，而且关键的是 NtQuerySystemInformation() 只是半文档化的，将来可能会被删除 OS。 NtQueryInformationProcess() 也可能提供针对相同问题的类似解决方案。
调用 GetProcessTimes() 并记录每个进程的计数器。等待一些较长的时间（分钟）并再次检查。如果进程计数器未更改，则假定进程已挂起。我承认这是一个 hack，但如果时间足够长，也许可以工作。

有没有更优雅的方式？

Answer 1

为此存在 PROCESS_EXTENDED_BASIC_INFORMATION - meaning of flags in it described in this answer. you are need IsFrozen flag. so you need open process with PROCESS_QUERY_LIMITED_INFORMATION access (for do this for all processes, you will be need have SE_DEBUG_PRIVILEGE enabled in token). and call NtQuerySystemInformation with ProcessBasicInformation and PROCESS_EXTENDED_BASIC_INFORMATION 作为输入。要枚举所有进程，我们可以使用 NtQuerySystemInformation 和 SystemProcessInformation。当然可能并使用 CreateToolhelp32Snapshot + Process32First + Process32Next 但是这个 api 非常低效，比较直接调用 NtQuerySystemInformation

也可以枚举进程中的所有线程并检查其状态以及是否处于等待状态 - 等待原因。这很容易，因为所有这些信息都已经通过使用 SystemProcessInformation 对 NtQuerySystemInformation 的一次调用返回了。有了这个，我们就不需要开放流程了。通常这两种方式都会给出相同的结果（对于 suspended/frozen）过程，但是使用 IsFrozen 是最正确的解决方案。

void PrintSuspended()
{
    BOOLEAN b;
    RtlAdjustPrivilege(SE_DEBUG_PRIVILEGE, TRUE, FALSE, &b);

    ULONG cb = 0x1000;
    NTSTATUS status;
    do 
    {
        status = STATUS_INSUFFICIENT_RESOURCES;

        if (PBYTE buf = new BYTE[cb])
        {
            if (0 <= (status = NtQuerySystemInformation(SystemProcessInformation, buf, cb, &cb)))
            {
                union {
                    PBYTE pb;
                    SYSTEM_PROCESS_INFORMATION* spi;
                };

                pb = buf;

                ULONG NextEntryOffset = 0;
                do 
                {
                    pb += NextEntryOffset;

                    if (!spi->UniqueProcessId)
                    {
                        continue;
                    }

                    if (HANDLE hProcess = OpenProcess(PROCESS_QUERY_LIMITED_INFORMATION, FALSE, 
                        (ULONG)(ULONG_PTR)spi->UniqueProcessId))
                    {
                        PROCESS_EXTENDED_BASIC_INFORMATION pebi;
                        if (0 <= NtQueryInformationProcess(hProcess, ProcessBasicInformation, &pebi, sizeof(pebi), 0) &&
                            pebi.Size >= sizeof(pebi))
                        {
                            if (pebi.IsFrozen)
                            {
                                DbgPrint("f:%x %wZ\n", spi->UniqueProcessId, spi->ImageName);
                            }
                        }
                        CloseHandle(hProcess);
                    }

                    if (ULONG NumberOfThreads = spi->NumberOfThreads)
                    {
                        SYSTEM_THREAD_INFORMATION* TH = spi->TH;
                        do 
                        {
                            if (TH->ThreadState != StateWait || TH->WaitReason != Suspended)
                            {
                                break;
                            }
                        } while (TH++, --NumberOfThreads);

                        if (!NumberOfThreads)
                        {
                            DbgPrint("s:%x %wZ\n", spi->UniqueProcessId, spi->ImageName);
                        }
                    }

                } while (NextEntryOffset = spi->NextEntryOffset);
            }
            delete [] buf;
        }
    } while (status == STATUS_INFO_LENGTH_MISMATCH);
}

检测 "suspended" Windows 8/10 进程

Detect "suspended" Windows 8/10 process

windows

api

winapi

power-management

uwp