定制调试诊断工具和实用程序(4)

核心提示： 注意 Windows NT 既不在 PEB 中存储 session ID，也不从 kernel32.dll 中输出 ProcessIdToSessionId 函数，定制调试诊断工具和实用程序(4)(2)，当你调用 ProcessIdToSessionId，而 WTS 又没有运行，用户Pla

注意 Windows NT 既不在 PEB 中存储 session ID，也不从 kernel32.dll 中输出 ProcessIdToSessionId 函数。当你调用 ProcessIdToSessionId，而 WTS 又没有运行，这时其返回值总是0。

除了允许你列出打开的会话之外，WTS 还有一个 API 用于枚举运行的进程，其实现方式与 PSAPI 和 TOOLHELP32 的实现方式是不同的。我写了一个类 CWTSWrapper 来打包 WTS 中与进程和会话有关的函数，以便避免与 wtsapi32.dll 进行静态链接。这个类的实现细节请参考下载的源代码，见 common 目录的 wrappers.cpp 文件。用 CWTSWrapper 很容易构造象 ProcessXP 这样的控制台应用程序。下面是ProcessXP 程序的输出，它列出了与登陆用户对应的打开的会话以及会话项下的运行进程。ProcessXP 程序的输出如下：

3 open sessions
----------------------------
ID State Window Station
----------------------------
0 (WTSActive) Console [Administrator]
1 (WTSDisconnected) [standard]
2 (WTSDisconnected) [Player]
30 running processes
----------------------------
0 0 ?
0 4 System \\NT AUTHORITY\SYSTEM
0 388 smss.exe \\NT AUTHORITY\SYSTEM
0 600 csrss.exe \\NT AUTHORITY\SYSTEM
0 632 winlogon.exe \\NT AUTHORITY\SYSTEM
0 676 services.exe \\NT AUTHORITY\SYSTEM
0 688 lsass.exe \\NT AUTHORITY\SYSTEM
0 856 svchost.exe \\NT AUTHORITY\SYSTEM
0 968 svchost.exe \\NT AUTHORITY\SYSTEM
0 1160 svchost.exe \\NT AUTHORITY\NETWORK SERVICE
0 1192 svchost.exe \\NT AUTHORITY\LOCAL SERVICE
0 1252 spoolsv.exe \\NT AUTHORITY\SYSTEM
0 1888 explorer.exe \\MACHINE\Administrator
0 2004 msmsgs.exe \\MACHINE\Administrator
0 104 svchost.exe \\NT AUTHORITY\SYSTEM
1 1496 csrss.exe \\NT AUTHORITY\SYSTEM
1 1172 winlogon.exe \\NT AUTHORITY\SYSTEM
1 1640 explorer.exe \\MACHINE\standard
1 1900 ctfmon.exe \\MACHINE\standard
1 352 notepad.exe \\MACHINE\standard
1 1896 freecell.exe \\MACHINE\standard
2 416 csrss.exe \\NT AUTHORITY\SYSTEM
2 268 winlogon.exe \\NT AUTHORITY\SYSTEM
2 1784 explorer.exe \\MACHINE\Player
0 1820 msiexec.exe \\NT AUTHORITY\SYSTEM
2 1544 ctfmon.exe \\MACHINE\Player
2 1632 msmsgs.exe \\MACHINE\Player
2 1268 wordpad.exe \\MACHINE\Player
0 1696 wuauclt.exe \\MACHINE\Administrator
0 1996 ProcessXP.exe \\MACHINE\Administrator

从上面的输出可以看出，名为 MACHINE 的机器上打开的会话有三各。第一个会话的 ID 为0，状态为活动（WTSActive 因为它就是运行中的 ProcessXP 所在的会话），产生这个会话的登陆用户为 Administrator。第二个会话的ID是1，处于断开状态（WTSDisconnected），产生这个会话的用户为标准用户，此用户启动了 Notepad 和 Freecell 程序，用户Player打开了会话2，并运行WordPad，但目前状态是断开的。