Рихтер Дж., Назар К. - Windows via C C++. Программирование на языке Visual C++ - 2009

122 Часть II. Приступаем к работе

ет описатель завершаемого процесса, а в параметре fuExitCode возвращается код завершения процесса.

Пользуйтесь TerminateProcess лишь в том случае, когда иным способом завершить процесс не удается. Процесс не получает абсолютно никаких уведомления о том, что он завершается, и приложение не может ни выполнить очистку, ни предотвратить свое неожиданное завершение (если оно, конечно, не использует механизмы защиты). При этом теряются все данные, которые процесс не успел переписать из памяти на диск.

Процесс действительно не имеет ни малейшего шанса самому провести очистку, но операционная система высвобождает все принадлежавшие ему ресурсы: возвращает себе выделенную им память, закрывает любые открытые файлы, уменьшает счетчики соответствующих объектов ядра и разрушает все его User- и GDI-объекты.

По завершении процесса (не важно каким способом) система гарантирует: после него ничего не останется - даже намеков на то, что он когда-то выполнялся.

Завершенный процесс не оставляет за собой никаких следов. Надеюсь, я сказал ясно.

Примечание. TerminateProcess — функция асинхронная, т. е. она сообщает системе, что вы хотите завершить процесс, но к тому времени, когда она вернет управление, процесс может быть еще не уничтожен. Так что, если вам нужно точно знать момент завершения процесса, используйте WaitForSingleObject (см. главу 9) или аналогичную функцию, передав ей описатель этого процесса.

Когда все потоки процесса уходят

В такой ситуации (а она может возникнуть, если все потоки вызвали ExitThread или их закрыли вызовом TerminateThread) операционная система больше не считает нужным «содержать» адресное пространство данного процесса. Обнаружив, что в процессе не исполняется ни один поток, она немедленно завершает его. При этом код завершения процесса приравнивается коду завершения последнего потока.

Что происходит при завершении процесса

А происходит вот что:

1.Выполнение всех потоков в процессе прекращается.

2.Все User- и GDI-объекты, созданные процессом, уничтожаются, а объекты ядра закрываются (если их не использует другой процесс).

3.Код завершения процесса меняется со значения STILL_ACTIVE на код, пере-

данный в ExitProcess или TerminateProcess.

4.Объект ядра «процесс» переходит в свободное, или незанятое (signaled), состояние. (Подробнее на эту тему см. главу 9.) Прочие потоки в системе могут приостановить свое выполнение вплоть до завершения данного процесса.

124 Часть II. Приступаем к работе

дится постоянно вызывать функции или подпрограммы. Но вызов функции приводит к приостановке выполнения основного кода вашей программы до возврата из вызванной функции. Альтернативный способ — передать выполнение какой-то операции другому потоку в пределах данного процесса (поток, разумеется, нужно сначала создать). Это позволит основному коду программы продолжить работу в то время, как дополнительный поток будет выполнять другую операцию. Прием весьма удобный, но, когда основному потоку потребуется узнать результаты работы другого потока, вам не избежать проблем, связанных с синхронизацией.

Есть еще один прием: ваш процесс порождает дочерний и возлагает на него выполнение части операций. Будем считать, что эти операции очень сложны. Допустим, для их реализации вы просто создаете новый поток внутри того же процесса. Вы пишете тот или иной код, тестируете его и получаете некорректный результат — может, ошиблись в алгоритме или запутались в ссылках и случайно перезаписали какие-нибудь важные данные в адресном пространстве своего процесса. Так вот, один из способов защитить адресное пространство основного процесса от подобных ошибок как раз и состоит в том, чтобы передать часть работы отдельному процессу. Далее можно или подождать, пока он завершится, или продолжить работу параллельно с ним.

К сожалению, дочернему процессу, по-видимому, придется оперировать с данными, содержащимися в адресном пространстве родительского процесса. Было бы неплохо, чтобы он работал исключительно в своем адресном пространстве, а в «вашем» — просто считывал нужные ему данные; тогда он не сможет что-то испортить в адресном пространстве родительского процесса. В Windows предусмотрено несколько способов обмена данными между процессами: DDE (Dynamic Data Exchange), OLE, каналы (pipes), почтовые ящики (mailslots) и т. д. А один из самых удобных способов, обеспечивающих совместный доступ к данным, — использование файлов, проецируемых в память (memory-mapped files). (Подробнее на эту тему см. главу 17.)

Если вы хотите создать новый процесс, заставить его выполнить какие-либо операции и дождаться их результатов, напишите примерно такой код:

PROCESS_INF0RMATI0N pi;

DWORD dwExitCode;

// порождаем дочерний процесс

BOOL fSuccess = CreateProcess(…, &pi); if (fSuccess) {

//закрывайте описатель потока, как только потребность в нем отпадает!

CloseHandle(pi.hThread);

//приостанавливаем выполнение родительского процесса,

//пока не завершится дочерний процесс

WaitForSingleObject(pi.hProcess, INFINITE);

Глава 4. Процессы.docx 125

//дочерний процесс завершился; получаем код его завершения

GetExitCodeProcess(pi.hProcess, idwExitCode);

//закрывайте описатель потока, как только потребность в нем отпадает!

CloseHandle(pi.hProcess);

}

В этом фрагменте кода мы создали новый процесс и, если это прошло успеш-

но, вызвали функцию WaitForSingleObject

DWORD WaitForSingleObject(HANDLE hObject, DWORD dwTimeout);

Подробное рассмотрение данной функции мы отложим до главы 9, а сейчас ограничимся одним соображением. Функция задерживает выполнение кода до тех пор, пока объект, определяемый параметром hObject, не перейдет в свободное (незанятое) состояние. Объект «процесс» переходит в такое состояние при его завершении. Поэтому вызов WaitForSingleObject приостанавливает выполнение потока родительского процесса до завершения порожденного им процесса. Когда WaitForSingleObject вернет управление, вы узнаете код завершения дочернего процесса через функцию GetExitCodeProcess.

Обращение к CloseHandle в приведенном выше фрагменте кода заставляет систему уменьшить значения счетчиков объектов «поток» и «процесс» до нуля и тем самым освободить память, занимаемую этими объектами.

Вы, наверное, заметили, что в этом фрагменте я закрыл описатель объекта ядра «первичный поток» (принадлежащий дочернему процессу) сразу после возврата из CreateProcess. Это не приводит к завершению первичного потока дочернего процесса — просто уменьшает счетчик, связанный с упомянутым объектом. А вот почему это делается — и, кстати, даже рекомендуется делать — именно так, станет ясно из простого примера. Допустим, первичный поток дочернего процесса порождает еще один поток, а сам после этого завершается. В этот момент система может высвободить объект «первичный поток» дочернего процесса из памяти, если у родительского процесса нет описателя данного объекта. Но если родительский процесс располагает таким описателем, система не сможет удалить этот объект из памяти до тех пор, пока и родительский процесс не закроет его описатель.

Запуск обособленных дочерних процессов

Что ни говори, но чаще приложение все-таки создает другие процессы как обособленные (detached processes). Это значит, что после создания и запуска нового процесса родительскому процессу нет нужды с ним взаимодействовать или ждать, пока тот закончит работу. Именно так и действует Explorer: запускает для пользователя новые процессы, а дальше его уже не волнует, что там с ними происходит.

Чтобы обрубить все пуповины, связывающие Explorer с дочерним процессом, ему нужно (вызовом CloseHandle) закрыть свои описатели, связан-

126 Часть II. Приступаем к работе

ные с новым процессом и его первичным потоком. Приведенный ниже фрагмент кода демонстрирует, как, создав процесс, сделать его обособленным:

PROCESS_INFORMATION pi;

// порождаем дочерний процесс

BOOL fSuccess = CreateProcess(…, &pi): if (fSuccess) {

//Разрешаем системе уничтожить объекты ядра "процесс" и "поток"

//сразу после завершения дочернего процесса.

CloseHandle(pi.hTh read); CloseHandle(pi.hP rocess);

}

Работа администратора с пользовательскими полномочиями

Создатели Windows Vista существенно повысили безопасность пользователей новой ОС благодаря использованию новых технологий. Для разработчиков приложений особенно важна, несомненно, технология под названием User Account Control (UAC).

По наблюдениям Майкрософт, большинство пользователей работает в Windows под администраторской учетной записью, привилегии которой предоставляют им почти ничем не ограниченный доступ к жизненно важным ресурсам системы. При входе пользователя в прежние версии Windows под привилегированной учетной записью создавался маркер защиты, который операционная система затем проверяла при обращении любых программ к защищенным ресурсам. Этот маркер связывался со всеми новыми процессами, начиная с Explorer, передавался их дочерним процессам и т. д. При этом вредоносный код, загруженный из Интернета либо принятый вместе с сообщением электронной почты, наследовал высокие привилегии администратора от исполняющего этот код «добропорядочного» приложения. Так он получал возможность творить на зараженной машине все, что угодно, вплоть до запуска других процессов, передавая им свои высокие привилегии.

В Windows Vista при входе под привилегированной учетной записью, такой как учетная запись администратора, в дополнение к стандартному маркеру защиты этой учетной записи, создается т.н. отфильтрованный маркер защиты (filtered token) с привилегиями обычного пользователя. Далее отфильтрованный маркер связывается со всем процессами, запущенными от имени этого пользователя, начиная с Explorer. Но как, спросите вы, работая с таким маркером защиты, получать доступ к защищенным ресурсам? Если говорить кратко, никак: процесс с ограниченными привилегиями не может обращаться к защищенным ресурсам, для доступа к которым нужен высо-

128 Часть II. Приступаем к работе

Наконец, при попытке запуска неподписанного приложения выводится окно с оранжевой полосой и соответствующими предостережениями:

Если пользователь вошел в систему под учетной записью обычного пользователя, откроется окно для ввода удостоверений привилегированной учетной записи — так пользователи с обычным уровнем привилегий могут выполнять действия, требующие администраторских полномочий. Такой вход в систему называется входом «через плечо» (over-the-shoulder, OTS logon) другого пользователя.

Примечание. Многие спрашивают, почему Windows Vista постоянно запрашивает у пользователя подтверждение при запуске программ от имени администратора, вместо того, чтобы получить его один раз, сохранить и больше не спрашивать, по крайней мере, у этого же пользователя. Дело в том, что данную информацию придется хранить (скорее всего, в реестре или каком-нибудь файле). Если вредоносная программа проникнет в это хранилище и модифицирует его, то сможет выполнять любые операции, требующие повышенных привилегий, без разрешения пользователя.

Глава 4. Процессы.docx 129

Наверное, наряду с командой Run As Administrator контекстного меню, вы заметили, что некоторые кнопки и ссылки, открывающие доступ к административным задачам в Windows Vista, помечены значком в виде щита. Эта подсказка говорит о том, что щелчок этой кнопки или ссылки откроет окно запроса подтверждения повышения привилегий. Узнать, как снабдить таким значком кнопки в своей программе, вы сможете, изучив программу-пример Process Information (о ней — в конце главы).

А теперь рассмотрим простой пример. При запуске Task Manager через контекстное меню панели задач значок в виде щита отображается на кнопке Show Processes From All Users.

Взгляните на идентификаторы процессов в окне Task Manager, прежде чем щелкнуть эту кнопку. Получив подтверждение повышения привилегий, окно Task Manager исчезает на пару секунд, а потом снова появляется, но уже с флажком вместо щита.

Также можно заметить, что идентификаторы процессов в окне Task Manager изменились после подтверждения повышения привилегий. Можно догадываться, что Task Manager породил новый экземпляр самого себя, уже

130 Часть II. Приступаем к работе

с повышенными привилегиями. Да, так и есть. Причина этому только одна: Windows допускает повышение привилегий только при запуске нового процесса, после запуска просить систему об этом уже поздно. Однако непривилегированный процесс может породить другой процесс с более высокими привилегиями и СОМсервером, а затем поддерживать его, чтобы взаимодействовать с более привилегированным процессом через IPC. При этом процессу не обязательно создавать новый экземпляр самого себя, а затем завершаться.

Примечание. По ссылке http://www.microsoft.com/emea/itsshowtime/ses- sionh.aspx?videoid=360 доступны видеоролик и презентация PowerPoint, в

которых Марк Руссинович (Mark Russinovich) рассказывает о внутреннем устройстве UAC, попутно освещая виртуализацию системных ресурсов, обеспечивающую лучшую совместимость Windows с приложениями, не поддерживающими новые ограничения при использовании администраторских полномочий.

Автоматическое повышение привилегий процесса

Если вашему приложению постоянно требуются администраторские привилегии, например, во время установки, ОС может автоматически запрашивать у пользователя повышение привилегий при каждом запуске такого приложения. Но как механизмы UAC решают, что делать при создании нового процесса?

Если в исполняемый файл приложения внедрен ресурс особого типа (RT_MANIFEST), система ищет секцию <trustInfo> (см. пример ниже) и анализирует ее содержимое.

…

<trustInfo xmlns=“urn:schemas-microsoft-com:asm.v2”> <security>

<requestedPrivileges>

<requestedExecutionLevel

level="requireAdministrator"

/>

Глава 4. Процессы.docx 131

</requestedPrivileges>

</security>

</trustInfo>

Атрибут level принимает одно из трех значений (см. таблицу 4-8).

Табл. 4-8. Значения атрибута level

Вместо внедрения в ресурсы исполняемого файла манифест можно сохранить

водной с ним папке. При этом у манифеста должны быть то же имя, что и у исполняемого файла, но с дополнительным расширением .manifest.

Параметры манифеста, хранимого в отдельном файле, могут подействовать не сразу, особенно если исполняемый файл был запущен до создания файла манифеста. Манифест вступит в силу только после повторного входа пользователя в Windows. Если в исполняемом файле имеется внедренный манифест, то хранимый

вфайле манифест игнорируется.

Помимо явных требований, определенных в XML-манифесте, ОС также следует особым правилам обеспечения совместимости, в частности, для распознавания программ-установщиков, требующих автоматического запроса повышения привилегий.

В случае приложений, не имеющих встроенного манифеста и не похожих на установщики, пользователь сам выбирает, запустить ли приложение с администраторскими привилегиями, помечая соответствующий флажок на вкладке Compatibility в окне свойств исполняемого файла (см. рисунок ниже).

Примечание. Механизмы обеспечения совместимости выходят за рамки этой книги, подробнее о разработке UAC-совместимых приложений для Windows Vista можно узнать по ссылке http://www.microsoft.com/downloads/details.aspx?FamilyID=ba73b169-a648- 49af-bc5e-a2eebb74c16b&DisplayLang=en.