大家知道，如果怀疑某个进程是病毒、木马或者间谍软件等恶意程序带来的，那么首先就需要了解该可疑进程的路径、大小等详细信息
Windows进程信息不可用解决办法(2)
原因分析
需要理解，进程是一个很奇妙的东西，它具有“双重性格”。就像文件夹和打印机一样，可以对进程指定访问权限，例如指定谁可以查询进程的信息、谁可以终止这个进程等等，也就是说每一个进程都可以关联一个访问控制列表（ACL）。然而和文件夹与打印机不一样的是，进程不但可以有ACL，同时还具有一个访问令牌（Access Token），访问令牌包含该进程所属的帐户SID列表和该进程所具有的一组特权（Privilege）。
可以把进程想象成类似于高中物理所学的“光的波粒二相性”，这样就不会忘记进程的这种“双重性格”。
当“系统信息”这个进程试图访问其他进程的详细信息时，“系统信息”进程首先需要出示其访问令牌。然后Windows的安全子系统就会根据其他进程的访问控制列表，来比较“系统信息”进程的访问令牌，以确认是否允许“系统信息”有权限访问该进程的详细信息。
实验查看
实验工具
Process Explorer：可以利用该工具来查看进程的访问令牌，还可以查看和设置进程的访问控制列表，可以到以下页面下载该工具：
http://download.pchome.net/system/sysenhance/19435.html
PsExec：可以利用该工具以其他帐户身份启动某个进程，可以到以下页面下载该工具（该工具包含在一个叫做Pstools的工具包内）：
http://download.pchome.net/system/sysenhance/16488.html
SubInAcl：可以查看和设置进程的权限，可以到以下页面下载该工具：
http://download.pchome.net/system/sysenhance/35378.html
网友评论