ProcessHacker学习笔记
ProcessHacker是一款拥有windows任务管理器的开源软件。学习该软件，可增长windows操作系统多方面系统机制知识和性能统计设计的能力。

1、获取进程内存占用率
windows系统下，无论任何版本，都可以在任务管理器下查看各个进程的内存占用率。
XP 2003系统下显示的是进程占用的内存工作集也就是PROCESS_MEMORY_COUNTERS结构中的WorkingSetSize;
WIN7 VISTA系统下显示的则是进程占用的私有内存工作集也就是Private WorkingSetSize.但是相关结构未公开而无法直接使用API进行获取。
ProcessHacker采用的办法是自己定义 struct _SYSTEM_PROCESS_INFORMATION 结构(推测是逆向或者其他渠道获取)
typedef struct _SYSTEM_PROCESS_INFORMATION
{
ULONG NextEntryOffset;
ULONG NumberOfThreads;
LARGE_INTEGER WorkingSetPrivateSize; // since VISTA
ULONG HardFaultCount; // since WIN7
ULONG NumberOfThreadsHighWatermark; // since WIN7
ULONGLONG CycleTime; // since WIN7
LARGE_INTEGER CreateTime;
LARGE_INTEGER UserTime;
LARGE_INTEGER KernelTime;
UNICODE_STRING ImageName;
KPRIORITY BasePriority;
HANDLE UniqueProcessId;
HANDLE InheritedFromUniqueProcessId;
ULONG HandleCount;
ULONG SessionId;
ULONG_PTR UniqueProcessKey; // since VISTA (requires SystemExtendedProcessInformation)
SIZE_T PeakVirtualSize;
SIZE_T VirtualSize;
ULONG PageFaultCount;
SIZE_T PeakWorkingSetSize;
SIZE_T WorkingSetSize;
SIZE_T QuotaPeakPagedPoolUsage;
SIZE_T QuotaPagedPoolUsage;
SIZE_T QuotaPeakNonPagedPoolUsage;
SIZE_T QuotaNonPagedPoolUsage;
SIZE_T PagefileUsage;
SIZE_T PeakPagefileUsage;
SIZE_T PrivatePageCount;
LARGE_INTEGER ReadOperationCount;
LARGE_INTEGER WriteOperationCount;
LARGE_INTEGER OtherOperationCount;
LARGE_INTEGER ReadTransferCount;
LARGE_INTEGER WriteTransferCount;
LARGE_INTEGER OtherTransferCount;
SYSTEM_THREAD_INFORMATION Threads[1];
} SYSTEM_PROCESS_INFORMATION, *PSYSTEM_PROCESS_INFORMATION;
使用此结构获取内存占用情况见ProcessHacker中PhEnumProcesses函数。
该函数调用NtQuerySystemInformation获取进程信息。并以SYSTEM_PROCESS_INFORMATION结构遍历该函数获取的BUFFER，得到进程的信息及内存占用。


 应用层获取进程的网络流量
一般精确到进程级别的网络流量统计也带有流量限制 所以大家可以使用TDI驱动开发 但是在应用层做到精确到进程的网络流量比较困难 可以考虑lsp程序开发
在我进行的项目中做了某些转换此处只要统计进程和端口的映射就可以了。 网络上有部分文章 vckbase网站的《Fport 源码》 不过其获取进程PTE的转换时硬转换 已经不适合WIN7 还有 《详谈进程与端口的映射》与 《再谈进程与端口的映射 》基本都是这般套路。 由于NDIS在多个操作系统改变过大 很多函数和思路都只能借鉴而无法调试学习。 还有NETSTAT命令的源码也可以参考。
《进程与端口映射》 是目前最为详细 而且支持多操作系统的 获取进程与端口映射的代码
不过我们这里重点介绍processhacker的办法 其映射进程于端口的代码主体为PhGetNetworkConnections 主要是依靠两个未公开函数

 



static _GetExtendedTcpTable GetExtendedTcpTable_I;
static _GetExtendedUdpTable GetExtendedUdpTable_I;
typedef DWORD (WINAPI *_GetExtendedTcpTable)(
__out_bcount_opt(*pdwSize) PVOID pTcpTable,
__inout PDWORD pdwSize,
__in BOOL bOrder,
__in ULONG ulAf,
__in TCP_TABLE_CLASS TableClass,
__in ULONG Reserved
);

 
typedef DWORD (WINAPI *_GetExtendedUdpTable)(
__out_bcount_opt(*pdwSize) PVOID pUdpTable,
__inout PDWORD pdwSize,
__in BOOL bOrder,
__in ULONG ulAf,
__in UDP_TABLE_CLASS TableClass,
__in ULONG Reserved
);