在Windows系统中动态链接库kernel32.dll提供了获取和处理系统进程的许多接口函数，Delphi语言把这些函数接口封装到Tlhelp32.pas中，供Delphi用户开发过程调用。要详细了解相关知识可以查阅Tlhelp32.pas原文件和Windows SDK提供的帮助文件。其中同本文涉及的接口函数主要有CreateToolhelp32Snapshot、process32first、 process32next、module32first、module32next五个函数以及TMODULEENTRY32、 TPROCESSENTRY32两个数据结构。
1、CreateToolhelp32Snapshot
该函数是要实现上述目的最核心的一个函数，它可以获取系统运行进程(Process)列表、线程(Thread)列表和指定运行进程的堆 (Heap)列表、调用模块(Module)列表。如果函数运行成功将返回一个非零"Snapshot"句柄，通过该句柄调用相关WinAPI函数就可以实现上述目的，其函数格式为：
HANDLE WINAPI CreateToolhelp32Snapshot(DWORD dwFlags,
DWORD th32ProcessID);
参数说明：
dwFlags参数:对函数建立的"Snapshot"所包含的列表类型，可选项包括：
TH32CS_SNAPHEAPLIST：所创建的Snapshot包含堆列表
TH32CS_SNAPMODULE ：所创建的Snapshot包含调用模块列表
TH32CS_SNAPTHREAD ：所创建的Snapshot包含线程列表；
TH32CS_SNAPPROCESS ：所创建的Snapshot包含进程列表；
TH32CS_SNAPALL ：所创建的Snapshot包含上述所有列表；
th32ProcessID参数：进程句柄参数，可以为零表示当前进程，该参数只对dwFlags包含TH32CS_SNAPMODULE、 TH32CS_SNAPHEAPLIST可选项时起作用。当dwFlags为TH32CS_SNAPPROCESS，th32ProcessID为零时函数得到系统的所有进程列表。
2、Process32First、Process32Next、Module32First、Module32Next
这四个函数都是对"Snapshot"所包含的列表进行息获取，根据函数字面的英文意义，不难理解各函数的含义和区别，四个函数的格式分别为：
BOOL WINAPI Process32First(HANDLE hSnapshot,
LPPROCESSENTRY32 lppe);
BOOL WINAPI Process32Next(HANDLE hSnapshot,
LPPROCESSENTRY32 lppe);
BOOL WINAPI Module32First(HANDLE hSnapshot,
LPMODULEENTRY32 lpme);
BOOL WINAPI Module32Next(HANDLE hSnapshot,
LPMODULEENTRY32 lpme);
3、TMODULEENTRY32、TPROCESSENTRY32
这两个数据结构中TPROCESSENTRY32是在Process32First、Process32Next两个函数所用到的数据结构，TMODULEENTRY32是在Module32First、Module32Next所用到的数据结构，两个数据结构分别如下：
typedef struct tagPROCESSENTRY32 {
DWORD dwSize;
DWORD cntUsage;
DWORD th32ProcessID; //进程句柄
DWORD th32DefaultHeapID;
DWORD th32ModuleID;
DWORD cntThreads;
DWORD th32ParentProcessID;
LONG pcPriClassBase;
DWORD dwFlags;
char szExeFile[MAX_PATH];
} PROCESSENTRY32;
typedef struct tagMODULEENTRY32 {
DWORD dwSize;
DWORD th32ModuleID;
DWORD th32ProcessID;
DWORD GlblcntUsage;
DWORD ProccntUsage;
BYTE * modBaseAddr;
DWORD modBaseSize;
HMODULE hModule;
char szModule[MAX_MODULE_NAME32 + 1];
char szExePath[MAX_PATH]; //调用模块的含路径文件名
} MODULEENTRY32;
在使用上面两个数据结构要特别强调一点，那就是函数使用这两个数据结构的变量时要先设置dwSize的值，分别用sizeof(TPROCESSENTRY32)和sizeof(TMODULEENTRY32)。
由于篇幅有限以上所提到的函数和数据结构可以查看Windows SDK帮助文件获取更详细的信息。
二、实现原理
要实现获得系统的所有运行进程和每个运行进程所调用模块的信息，实际上只要使用两重循环，外循环获取系统的所有进程列表，内循环获取每个进程所调用模块列表。用以下四组API调用实现:
1、创建系统的所有进程列表
ProcessList:= CreateToolhelp32Snapshot
(TH32CS_SNAPPROCESS,0);
2、提取进程列表项信息存储在TPROCESSENTRY32 pe中
Process32First(ProcessList,pe)
Process32Next(ProcessList,pe)
3、创建指定进程所有调用模块列表
ModuleList:=CreateToolhelp32Snapshot(TH32CS_SNAPMODULE,
pe.processID);
4、提取调用模块列表项信息存储在TMODULEENTRY32 pm中
Module32First(ModuleList,pm);
Module32Next(ModuleList,pm);
三、核心源码
有了以上知识以后，我们就可以很容易地实现获取系统的所有进程以及各进程运行过程所调用的模块文件了。具体步骤如下：
1、运行Delphi，进入Delphi的IDE开发环境；
2、新建Application；
3、在默认的Form1中添加Treeview和Button控件；
4、设置Button的OnClick属性为ProcessEnum；
5、把以下代码输入ProcessEnum过程中；
6、编译运行；
核心代码如下所示：
uses Tlhelp32;
procedure TForm1.ProcessEnum(Sender: TObject);
var
ProcessList :Thandle;
pe :TPROCESSENTRY32;
node :TTreenode;
processnumber :integer;
procedure ModuleEnum(processid:Dword);
var
ModuleList :Thandle;
pm :TMODULEENTRY32;
begin
ModuleList:=CreateToolhelp32Snapshot
(TH32CS_SNAPMODULE,processID);
pm.dwSize:=sizeof(TMODULEENTRY32);
if module32first(ModuleList,pm)
then begin
treeview1.Items.addchild(node,pm.szexepath);
while module32next(ModuleList,pm) do
treeview1.items.addchild(node,pm.szexepath);
end;
closehandle(ModuleList);
end; // ModuleEnum
begin // ProcessEnum
processnumber:=0;
treeview1.Items.Clear;
ProcessList:=CreateToolhelp32Snapshot
(TH32CS_SNAPPROCESS,0);
pe.dwSize:=sizeof(TPROCESSENTRY32);
if process32first(ProcessList,pe) then
begin
node:=treeview1.Items.Add(nil,pe.szexefile);
ModuleEnum(pe.th32ProcessID);
inc(processnumber);
while process32next(ProcessList,pe) do
begin
node:=treeview1.Items.Add(nil,pe.szexefile);
ModuleEnum(pe.th32ProcessID);
inc(processnumber);
end;
end;
edit1.text:=’系统进程：’+inttostr(processnumber);
closehandle(ProcessList);
end;
