c - PROCESS_EXTENDED_BASIC_INFORMATION 结构中标志的含义？

Question

有人可以解释一下 PROCESS_EXTENDED_BASIC_INFORMATION 中所有这些位代表什么吗？

typedef struct _PROCESS_EXTENDED_BASIC_INFORMATION {
    SIZE_T Size;    // Ignored as input, written with structure size on output
    PROCESS_BASIC_INFORMATION BasicInfo;
    union {
        ULONG Flags;
        struct {
            ULONG IsProtectedProcess : 1;
            ULONG IsWow64Process : 1;
            ULONG IsProcessDeleting : 1;
            ULONG IsCrossSessionCreate : 1;
            ULONG IsFrozen : 1;
            ULONG IsBackground : 1;
            ULONG IsStronglyNamed : 1;
            ULONG IsSecureProcess : 1;
            ULONG IsSubsystemProcess : 1;
            ULONG SpareBits : 23;
        } DUMMYSTRUCTNAME;
    } DUMMYUNIONNAME;
} PROCESS_EXTENDED_BASIC_INFORMATION, *PPROCESS_EXTENDED_BASIC_INFORMATION;

微软在 this article 中展示了这个struct但没有解释这些标志代表什么。

Answer 1

以下是高度未记录的内容，Microsoft 可能不希望您使用。这样做的风险由您自己承担。

PS。但是，你实际上有一个有趣的问题。因此，仅针对普通教育:

• IsProtectedProcess (0x001) 系统保护进程:其他进程无法读取/写入其虚拟机或将远程线程注入(inject)其中。 (旧风格。如果我没记错的话，它从 XP SP3 起就可用。)

• IsWow64Process (0x002) WOW64 进程，或在 64 位 Windows 上运行的 32 位进程。

• IsProcessDeleting (0x004) 进程已终止，但有打开的句柄 - 这是一个非常短暂的阶段。 (只有当您是内核驱动程序时，您才会对此感兴趣。)

• IsCrossSessionCreate (0x008) 进程是跨终端 session 创建的。 例如:阅读 CreateProcessAsUser 了解详细信息。

• IsFrozen (0x010) Immersive process 已暂停(仅适用于 UWP 进程)。例如，如果用户将沉浸式进程移至后台或最小化它，则可以暂停该进程。主要用于省电。 More info。

• IsBackground (0x020) 沉浸式进程处于后台任务模式。 UWP 进程可能会暂时切换为执行 background task 。主要用于省电。

• IsStronglyNamed (0x040) UWP 强命名进程。 UWP 包经过数字签名。可以跟踪对包内文件的任何修改。 这通常意味着，如果包签名被破坏，UWP 应用将无法启动。

• IsSecureProcess (0x080) Isolated User Mode 进程 - Windows 10 中的新安全模式，对可以“利用”此进程的内容具有更严格的限制。

• IsSubsystemProcess (0x100) 当进程子系统的类型不是 Win32 时设置(比如 *NIX，比如 Ubuntu。) 是的，你没有看错，原生可以 run Linux在 Windows 10 上。(Ref1、Ref2。)

PS2。如果有的话，我愿意接受更正......