按名称查找进程 ID 的快速方法
Fast way to find process id by name
任务是：通过可执行名称查找进程 ID。
调用应用程序是32位的，查找过程可以是32位或64位
解决方案：
#include <string>
#include <iostream>
#include <windows.h>
#include <Tlhelp32.h>
#include <psapi.h>
#pragma comment(lib, "psapi.lib")
size_t r_wcsstr(const wchar_t* str, const wchar_t* search)
{
for (size_t i = wcslen(str) - wcslen(search); i > 0; --i)
{
if (wcsstr(str + i, search) != NULL)
return i + 1;
}
return -1;
}
bool find_process_1(const std::wstring& name, DWORD& pid)
{
DWORD aProcesses[1024] { 0 };
DWORD cbNeeded { 0 };
DWORD cProcesses { 0 };
unsigned int i;
if (EnumProcesses(aProcesses, sizeof(aProcesses), &cbNeeded) == 0)
return false;
cProcesses = cbNeeded / sizeof(DWORD);
for (i = 0; i < cProcesses; i++)
{
WCHAR module_name[MAX_PATH] { 0 };
HANDLE process = OpenProcess(PROCESS_QUERY_LIMITED_INFORMATION | PROCESS_VM_READ, FALSE, aProcesses[i]);
if (process == NULL ||
GetProcessImageFileNameW(process, module_name, sizeof(module_name) / sizeof(WCHAR)) == 0)
continue;
size_t pos = r_wcsstr(module_name, name.c_str());
if (pos != -1)
{
pid = aProcesses[i];
return true;
}
}
return false;
}
bool find_process_2(const std::wstring& name, DWORD& pid)
{
HANDLE snapshot = INVALID_HANDLE_VALUE;
PROCESSENTRY32 process_entry = { 0 };
process_entry.dwSize = sizeof(process_entry);
bool found = false;
snapshot = CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS, NULL);
if (snapshot == INVALID_HANDLE_VALUE)
return false;
BOOL success = Process32First(snapshot, &process_entry);
while (success == TRUE)
{
if (_wcsicmp(process_entry.szExeFile, name.c_str()) == 0)
{
pid = process_entry.th32ProcessID;
CloseHandle(snapshot);
return true;
}
success = Process32Next(snapshot, &process_entry);
}
CloseHandle(snapshot);
return false;
}
int main(int argc, WCHAR **argv)
{
unsigned long pid { 0 };
unsigned long long total { 0 };
for (int i = 0; i < 1000; ++i)
{
unsigned long long start = GetTickCount64();
find_process_1(L"Calculator.exe", pid);
total += (GetTickCount64() - start);
}
std::wcout << L"Total: " << total << L"\tper call: " << total / 1000. << std::endl;
total = 0;
for (int i = 0; i < 1000; ++i)
{
unsigned long long start = GetTickCount64();
find_process_2(L"Calculator.exe", pid);
total += (GetTickCount64() - start);
}
std::wcout << L"Total: " << total << L"\tper call: " << total / 1000. << std::endl;
return 0;
}
Total: 4094 per call: 4.094
Total: 4688 per call: 4.688
有没有比 OpenProcesses + GetProcessImageFileName 更快的方法？
我还发现 QueryFullProcessImageName 函数可以稍微减少 find_process_1 时间
UPD1：使用 NtQuerySystemInformation 的解决方案
代码有误见解决办法
#include <winternl.h>
#pragma comment(lib,"ntdll.lib")
struct _SYSTEM_PROCESS_INFO
{
ULONG NextEntryOffset;
ULONG NumberOfThreads;
LARGE_INTEGER Reserved[3];
LARGE_INTEGER CreateTime;
LARGE_INTEGER UserTime;
LARGE_INTEGER KernelTime;
UNICODE_STRING ImageName;
ULONG BasePriority;
HANDLE ProcessId;
HANDLE InheritedFromProcessId;
};
bool find_process_3(const std::wstring& name, DWORD& pid)
{
_SYSTEM_PROCESS_INFO* spi;
size_t size = 1024*1024;
PVOID buffer = VirtualAlloc(NULL, 1024 * 1024, MEM_COMMIT | MEM_RESERVE, PAGE_READWRITE);
ULONG real_size {0};
NTSTATUS ret = NtQuerySystemInformation(SystemProcessInformation, buffer, size, &real_size);
bool found {false};
if (NT_SUCCESS(ret) == true)
{
spi = (_SYSTEM_PROCESS_INFO*)buffer;
while(spi->NextEntryOffset)
{
if (spi->ImageName.Buffer != nullptr && _wcsicmp(spi->ImageName.Buffer, name.c_str()) == 0)
{
pid = (long)spi->ProcessId;
found = true;
break;
}
spi = (_SYSTEM_PROCESS_INFO*)((LPBYTE)spi + spi->NextEntryOffset);
}
}
VirtualFree(buffer, 0, MEM_RELEASE);
return found;
}
结果：
Total: 4562 per call: 4.562 // OpenProcess + GetProcessImageFileName
Total: 4453 per call: 4.453 // OpenProcess + QueryFullProcessImageName
Total: 5188 per call: 5.188 // CreateToolhelp32Snapshot
Total: 2797 per call: 2.797 // NtQuerySystemInformation
看起来真的更快，谢谢@RbMm
要通过名称获取进程 ID，需要枚举进程并将其名称与给定的名称进行比较。至少我没有听过就绪系统 api 只是这样做（并且没有内部枚举）。当然需要了解这样做对于系统级调试工具来说存在的主要意义 - 进程名称不可靠。可以是多个同名进程等
最快的低级方法 - 使用 NtQuerySystemInformation 函数和 SystemProcessInformation 信息 class。所有其他方式 - 基于此 api。但是有很大的开销和丢失信息。
CreateToolhelp32Snapshot - 内部调用 NtQuerySystemInformation 函数 SystemProcessInformation 但使用部分（win32 语言上的文件映射）作为信息存储。复制此部分的数据并取消映射。 Process32First Process32Next - 所有时间 map 部分再次内存，将数据复制到您的缓冲区（和 drop 一些数据在此过程中）然后 unmap 部分。所有这些严重的开销。当然，如果你只这样做一次 - 你不会看到不同，但如果这样做很多次 - 速度就会有所不同。
EnumProcesses 当然也使用 NtQuerySystemInformation 函数和 SystemProcessInformation 但从所有返回的信息来看 - 只为每个进程传递进程标识符，并且 drop 所有其他信息。结果你需要调用 OpenProcess 并查询它的图像路径 - 再次严重的开销，你不能打开说受保护的进程。
当然，这里我只描述了当前的实现。可能会改变。也许不吧。然而，这就是为什么 NtQuerySystemInformation 最快的原因。
所以记录它或没有，"supported" 或没有 - NtQuerySystemInformation 是最快的方法，如果使用正确的话。
may be altered or unavailable in future versions of Windows
这已经写了20年了。但仍然是错误的。我个人确信这个 api 永远不会被更改或不可用（至少不早于 CreateToolhelp32Snapshot 和 EnumProcesses 也将被更改或不可用） - 这是基本系统之一 api.没有任何理由这样做。
This function has no associated import library. You must use the
LoadLibrary and GetProcAddress functions to dynamically link to
Ntdll.dll.
这也是谎言。甚至存在来自 wdk 的 2 个库 - ntdll.lib 和 ntdllp.lib（这里更多 api 但这个库可以如果您使用 crt - 多个定义的符号，在某些情况下会与 crt 冲突） - 所以我们可以，但不需要使用 LoadLibrary 和 GetProcAddress （对我来说非常有趣 - 我们如何调用 LoadLibrary和 GetProcAddress 之前没有调用 LoadLibrary 和 GetProcAddress 来获取 LoadLibrary 和 GetProcAddress 的地址）。
真的 NtQuerySystemInformation 常用 api 函数并像任何常用 api 函数一样调用。我们需要的一切——编译器声明和链接器的 lib 文件。 lib 存在于 wdk 中（并且一直在这里），尽管 msdn 说另一个
用法示例
NTSTATUS GetProcessIdByName(PCUNICODE_STRING ImageName, HANDLE& UniqueProcessId)
{
NTSTATUS status;
ULONG cb = 0x10000;
UniqueProcessId = 0;
do
{
status = STATUS_INSUFFICIENT_RESOURCES;
if (PVOID buf = new UCHAR[cb])
{
if (0 <= (status = NtQuerySystemInformation(SystemProcessInformation, buf, cb, &cb)))
{
status = STATUS_NOT_FOUND;
union {
PVOID pv;
PBYTE pb;
PSYSTEM_PROCESS_INFORMATION pspi;
};
pv = buf;
ULONG NextEntryOffset = 0;
do
{
pb += NextEntryOffset;
if (RtlEqualUnicodeString(ImageName, &pspi->ImageName, TRUE))
{
UniqueProcessId = pspi->UniqueProcessId;
status = STATUS_SUCCESS;
break;
}
} while (NextEntryOffset = pspi->NextEntryOffset);
}
delete [] buf;
}
} while (status == STATUS_INFO_LENGTH_MISMATCH);
return status;
}
请注意，因为所需的缓冲区大小非常不稳定（所有时间都是新线程 created/exited）- 需要在循环中调用此 api 直到我们得到 not STATUS_INFO_LENGTH_MISMATCH status
注意 do while (NextEntryOffset = pspi->NextEntryOffset) 循环 - 如果执行 while 循环 - 我们丢失了最后一个条目（系统中最新生成的进程）。和 ImageName - 这是 UNICODE_STRING - 所以不是强制性的零终止。结果使用字符串 api 假设 0 终止字符串 - 此处不正确（工作因为在这个结构中确实使用了 0 终止字符串）正确使用 RtlEqualUnicodeString 或类似的
此代码搜索过程也是按名称进行的，直到找到第一个匹配名称。当然需要明白可以是同名的多个进程——例如svchost.exe。在实际搜索中，我们可以使用和其他条件，如 sessionid、进程令牌属性、命令行等。这已经是单独的问题并取决于要求
任务是：通过可执行名称查找进程 ID。
调用应用程序是32位的，查找过程可以是32位或64位
解决方案：
#include <string>
#include <iostream>
#include <windows.h>
#include <Tlhelp32.h>
#include <psapi.h>
#pragma comment(lib, "psapi.lib")
size_t r_wcsstr(const wchar_t* str, const wchar_t* search)
{
for (size_t i = wcslen(str) - wcslen(search); i > 0; --i)
{
if (wcsstr(str + i, search) != NULL)
return i + 1;
}
return -1;
}
bool find_process_1(const std::wstring& name, DWORD& pid)
{
DWORD aProcesses[1024] { 0 };
DWORD cbNeeded { 0 };
DWORD cProcesses { 0 };
unsigned int i;
if (EnumProcesses(aProcesses, sizeof(aProcesses), &cbNeeded) == 0)
return false;
cProcesses = cbNeeded / sizeof(DWORD);
for (i = 0; i < cProcesses; i++)
{
WCHAR module_name[MAX_PATH] { 0 };
HANDLE process = OpenProcess(PROCESS_QUERY_LIMITED_INFORMATION | PROCESS_VM_READ, FALSE, aProcesses[i]);
if (process == NULL ||
GetProcessImageFileNameW(process, module_name, sizeof(module_name) / sizeof(WCHAR)) == 0)
continue;
size_t pos = r_wcsstr(module_name, name.c_str());
if (pos != -1)
{
pid = aProcesses[i];
return true;
}
}
return false;
}
bool find_process_2(const std::wstring& name, DWORD& pid)
{
HANDLE snapshot = INVALID_HANDLE_VALUE;
PROCESSENTRY32 process_entry = { 0 };
process_entry.dwSize = sizeof(process_entry);
bool found = false;
snapshot = CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS, NULL);
if (snapshot == INVALID_HANDLE_VALUE)
return false;
BOOL success = Process32First(snapshot, &process_entry);
while (success == TRUE)
{
if (_wcsicmp(process_entry.szExeFile, name.c_str()) == 0)
{
pid = process_entry.th32ProcessID;
CloseHandle(snapshot);
return true;
}
success = Process32Next(snapshot, &process_entry);
}
CloseHandle(snapshot);
return false;
}
int main(int argc, WCHAR **argv)
{
unsigned long pid { 0 };
unsigned long long total { 0 };
for (int i = 0; i < 1000; ++i)
{
unsigned long long start = GetTickCount64();
find_process_1(L"Calculator.exe", pid);
total += (GetTickCount64() - start);
}
std::wcout << L"Total: " << total << L"\tper call: " << total / 1000. << std::endl;
total = 0;
for (int i = 0; i < 1000; ++i)
{
unsigned long long start = GetTickCount64();
find_process_2(L"Calculator.exe", pid);
total += (GetTickCount64() - start);
}
std::wcout << L"Total: " << total << L"\tper call: " << total / 1000. << std::endl;
return 0;
}
Total: 4094 per call: 4.094
Total: 4688 per call: 4.688
有没有比 OpenProcesses + GetProcessImageFileName 更快的方法？
我还发现 QueryFullProcessImageName 函数可以稍微减少 find_process_1 时间
UPD1：使用 NtQuerySystemInformation 的解决方案 代码有误见解决办法
#include <winternl.h>
#pragma comment(lib,"ntdll.lib")
struct _SYSTEM_PROCESS_INFO
{
ULONG NextEntryOffset;
ULONG NumberOfThreads;
LARGE_INTEGER Reserved[3];
LARGE_INTEGER CreateTime;
LARGE_INTEGER UserTime;
LARGE_INTEGER KernelTime;
UNICODE_STRING ImageName;
ULONG BasePriority;
HANDLE ProcessId;
HANDLE InheritedFromProcessId;
};
bool find_process_3(const std::wstring& name, DWORD& pid)
{
_SYSTEM_PROCESS_INFO* spi;
size_t size = 1024*1024;
PVOID buffer = VirtualAlloc(NULL, 1024 * 1024, MEM_COMMIT | MEM_RESERVE, PAGE_READWRITE);
ULONG real_size {0};
NTSTATUS ret = NtQuerySystemInformation(SystemProcessInformation, buffer, size, &real_size);
bool found {false};
if (NT_SUCCESS(ret) == true)
{
spi = (_SYSTEM_PROCESS_INFO*)buffer;
while(spi->NextEntryOffset)
{
if (spi->ImageName.Buffer != nullptr && _wcsicmp(spi->ImageName.Buffer, name.c_str()) == 0)
{
pid = (long)spi->ProcessId;
found = true;
break;
}
spi = (_SYSTEM_PROCESS_INFO*)((LPBYTE)spi + spi->NextEntryOffset);
}
}
VirtualFree(buffer, 0, MEM_RELEASE);
return found;
}
结果：
Total: 4562 per call: 4.562 // OpenProcess + GetProcessImageFileName
Total: 4453 per call: 4.453 // OpenProcess + QueryFullProcessImageName
Total: 5188 per call: 5.188 // CreateToolhelp32Snapshot
Total: 2797 per call: 2.797 // NtQuerySystemInformation
看起来真的更快，谢谢@RbMm
要通过名称获取进程 ID，需要枚举进程并将其名称与给定的名称进行比较。至少我没有听过就绪系统 api 只是这样做（并且没有内部枚举）。当然需要了解这样做对于系统级调试工具来说存在的主要意义 - 进程名称不可靠。可以是多个同名进程等
最快的低级方法 - 使用 NtQuerySystemInformation 函数和 SystemProcessInformation 信息 class。所有其他方式 - 基于此 api。但是有很大的开销和丢失信息。
CreateToolhelp32Snapshot - 内部调用 NtQuerySystemInformation 函数 SystemProcessInformation 但使用部分（win32 语言上的文件映射）作为信息存储。复制此部分的数据并取消映射。 Process32First Process32Next - 所有时间 map 部分再次内存，将数据复制到您的缓冲区（和 drop 一些数据在此过程中）然后 unmap 部分。所有这些严重的开销。当然，如果你只这样做一次 - 你不会看到不同，但如果这样做很多次 - 速度就会有所不同。
EnumProcesses 当然也使用 NtQuerySystemInformation 函数和 SystemProcessInformation 但从所有返回的信息来看 - 只为每个进程传递进程标识符，并且 drop 所有其他信息。结果你需要调用 OpenProcess 并查询它的图像路径 - 再次严重的开销，你不能打开说受保护的进程。
当然，这里我只描述了当前的实现。可能会改变。也许不吧。然而，这就是为什么 NtQuerySystemInformation 最快的原因。
所以记录它或没有，"supported" 或没有 - NtQuerySystemInformation 是最快的方法，如果使用正确的话。
may be altered or unavailable in future versions of Windows
这已经写了20年了。但仍然是错误的。我个人确信这个 api 永远不会被更改或不可用（至少不早于 CreateToolhelp32Snapshot 和 EnumProcesses 也将被更改或不可用） - 这是基本系统之一 api.没有任何理由这样做。
This function has no associated import library. You must use the LoadLibrary and GetProcAddress functions to dynamically link to Ntdll.dll.
这也是谎言。甚至存在来自 wdk 的 2 个库 - ntdll.lib 和 ntdllp.lib（这里更多 api 但这个库可以如果您使用 crt - 多个定义的符号，在某些情况下会与 crt 冲突） - 所以我们可以，但不需要使用 LoadLibrary 和 GetProcAddress （对我来说非常有趣 - 我们如何调用 LoadLibrary和 GetProcAddress 之前没有调用 LoadLibrary 和 GetProcAddress 来获取 LoadLibrary 和 GetProcAddress 的地址）。
真的 NtQuerySystemInformation 常用 api 函数并像任何常用 api 函数一样调用。我们需要的一切——编译器声明和链接器的 lib 文件。 lib 存在于 wdk 中（并且一直在这里），尽管 msdn 说另一个
用法示例
NTSTATUS GetProcessIdByName(PCUNICODE_STRING ImageName, HANDLE& UniqueProcessId)
{
NTSTATUS status;
ULONG cb = 0x10000;
UniqueProcessId = 0;
do
{
status = STATUS_INSUFFICIENT_RESOURCES;
if (PVOID buf = new UCHAR[cb])
{
if (0 <= (status = NtQuerySystemInformation(SystemProcessInformation, buf, cb, &cb)))
{
status = STATUS_NOT_FOUND;
union {
PVOID pv;
PBYTE pb;
PSYSTEM_PROCESS_INFORMATION pspi;
};
pv = buf;
ULONG NextEntryOffset = 0;
do
{
pb += NextEntryOffset;
if (RtlEqualUnicodeString(ImageName, &pspi->ImageName, TRUE))
{
UniqueProcessId = pspi->UniqueProcessId;
status = STATUS_SUCCESS;
break;
}
} while (NextEntryOffset = pspi->NextEntryOffset);
}
delete [] buf;
}
} while (status == STATUS_INFO_LENGTH_MISMATCH);
return status;
}
请注意，因为所需的缓冲区大小非常不稳定（所有时间都是新线程 created/exited）- 需要在循环中调用此 api 直到我们得到 not STATUS_INFO_LENGTH_MISMATCH status
注意 do while (NextEntryOffset = pspi->NextEntryOffset) 循环 - 如果执行 while 循环 - 我们丢失了最后一个条目（系统中最新生成的进程）。和 ImageName - 这是 UNICODE_STRING - 所以不是强制性的零终止。结果使用字符串 api 假设 0 终止字符串 - 此处不正确（工作因为在这个结构中确实使用了 0 终止字符串）正确使用 RtlEqualUnicodeString 或类似的
此代码搜索过程也是按名称进行的，直到找到第一个匹配名称。当然需要明白可以是同名的多个进程——例如svchost.exe。在实际搜索中，我们可以使用和其他条件，如 sessionid、进程令牌属性、命令行等。这已经是单独的问题并取决于要求