Список открытых сокетов+ ID процесса

[dvp]

в ХР есть функция iphlpapi.AllocateAndGetTcpTableFromStack
а как быть с остальными версиями Windows.
GetTcpTable дает список открытых сокетов но как узнать какой процесс их открыл?

[Гром]

в ХР есть функция

В ХР не может быть функции, в какой библиотеке она есть.

Если .NET ее имеет, так она будет работать и в 2000 если ты на него поставишь .NET студию.

[dvp]

iphlpapi.AllocateAndGetTcpTableFromStack -> dll = "iphlpapi.dll" function = "AllocateAndGetTcpTableFromStack"

[Гром]

В общем примерно так.
Ты при создании программы имеешь 2 варианта подключения библиотек, включаемый и нет.
Если нет, то тебе придется таскать эту dll с собой и своей программкой, а если ты сделаешь ее включенной в программу, то тогда достаточно будет 1-го файла .exe и все будет работать на любой Windows.

ВСЕ

[dvp]

да не все это не то .......
Есть утилита Русиновича TCPView которая может это делать на любой Windows, но вот как она это делает, черт ее знает, вроде драйвер свой загружает, но из списка используемых функций:
ntoskrnl._stricmp
ntoskrnl.ExGetPreviousMode
ntoskrnl.IoCreateDevice
ntoskrnl.IoCreateSymbolicLink
ntoskrnl.IoDeleteDevice
ntoskrnl.IofCompleteRequest
ntoskrnl.KeAttachProcess
ntoskrnl.KeDetachProcess
ntoskrnl.ObfDereferenceObject
ntoskrnl.ObQueryNameString
ntoskrnl.ObReferenceObjectByHandle
ntoskrnl.PsLookupProcessByProcessId
ntoskrnl.RtlFreeAnsiString
ntoskrnl.RtlInitUnicodeString
ntoskrnl.RtlUnicodeStringToAnsiString
ntoskrnl.RtlUnwind
ntoskrnl.SeCaptureSubjectContext
ntoskrnl.SePrivilegeCheck
ntoskrnl.SeReleaseSubjectContext
ntoskrnl.strncpy
ntoskrnl.ZwClose
ntoskrnl.ZwDuplicateObject
ntoskrnl.ZwOpenProcess
ntoskrnl.ZwOpenProcessToken
сложно понять как он получает процесс, открывший сокет.
Мож кто этим занимался, помогите плз

[Гром]

УУУУ как все запущено. Кернель функции тобой перечисленные доступны только из драйвера.

Если та библиотека их XP которую ты приводишь не умеет работать с нижними версиями винь, то тут вырастает проблемка.

У нас тут уже было обсуждение снифера. Если не найдешь - то я сам покапаюсь, так как вроде был ответ на этот вопрос, но на вскидку, не скажу.

[dvp]

да правильно, я привел список импортируемых драйвером функций

[Гром]

В общем если надо - найдем   пока поищи на форуме, а я архивы копну.

[SlavaI]

У Русиновича на сайте написано
Source Code to Netstatp
Wonder how TCPView works? Previous versions relied on SNMP (Simple Network Management Protocol) interfaces to obtain TCP/IP information. Starting with version 2.0, TCPVIew uses the IP Helper interfaces documented in MSDN. The complete source for the command-line version of TCPView, netstatp, demonstrate the IP Helper interface and is available here for download.
 Скачай и посмотри.

[dvp]

да был я там, это и было отправной точкой
исходники это не TCPView, а Netstap, а он показывает принадлежность к процессу только под ХР, т.к. ф-я AllocateAndGetTcpTableFromStack экспортируется iphlpapi только в ней.
Есть какой то другой механизм

[SlavaI]

Подебагил я прогу Руссиновича- ничего приятного сказать не могу. Очевидно, что он использует обращение к неким драйверам через IOCTL, в коде есть строки \Device\UDP, \Device\TCP, он их там с чем-то сравнивает, после обращение к какому-то драйверу. Вполне возможно что он обращается через IOCTL к Device\UDP, \Device\TCP? но доказательство я этого пока не нашел.
Использует он только ф-ции GetTcpTable и GetUdpTable, а дальше начинается обращение к драйверам.

[dumb]

у меня есть рабочая прога с описанной функциональностью, но с одним ограничением    -- она определяет только пользовательские сокеты. при работе использует недокументированные (некогда   ) функции NtQuerySystemInformation. работает так: получает таблицы хэндлов для каждого процесса в системе, каждый хэндл дуплицирует в свой процесс и вызывает для него функции getpeername и getsockname (и другие). всего-то   . могу исходники прислать  

[dvp]

пришли
dvp@ec.mv.ru