Explorer进程被杀后会被Windows重新加载吗（二）
<P>上次说到当使用TerminateProcess()函数并将参数uExitCode设置为非1时去结束Explorer.EXE进程，Windows会自动唤醒Explorer.EXE进程。今天将继续讨论这个问题。</P><P>上次讨论到系统启动的时候，Explorer.EXE进程是由UserInit.EXE进程启动的，然后UserInit.EXE进程退出（关于这一点可以参考《Windows Internals, 4th》一书关于启动过程上的介绍），但是对于当我们使用TerminateProcess()函数并将参数uExitCode设置为非1时去结束Explorer.EXE进程这种情况，被唤醒的Explorer.EXE进程的父进程并不是UserInit.EXE，跟踪发现这个时候UserInit.EXE进程并没有出现，那么是谁唤醒了Explorer.EXE进程呢？为什么会唤醒这个进程呢？</P>
<P>进一步的探索发现，Windows是否唤醒Explorer.EXE进程需要确定2个条件：<BR>1、 TerminateProcess()函数的uExitCode的值<BR>2、 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\AutoRestartShell的值<BR>上次说到当uExitCode的值是非1的时候，Windows 将自动重启Explorer.EXE，但是进一步的研究可以得知，如果AutoRestartShell的值是0的话，无论uExitCode的值是多少Windows均不会自动唤醒Explorer.EXE。</P>
<P>关于AutoRestartShell值的介绍，我查阅了一些资料，得到了下面的一些信息：</P>
<P><STRONG>HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\AutoRestartShell<BR></STRONG>类型：REG_DWORD<BR>默认值：1<BR>值含义：<BR> <STRONG>1</STRONG> 如果Windows用户界面或他的某个组建以外的终止运行，则用户界面会自动重新启动。<BR> <STRONG>0</STRONG> 如果Windows用户界面或他的某个组建以外的终止运行，则用户界面不会自动重新启动。<BR>*注1：这里说的Windows用户界面通常指Explorer.EXE<BR>*注2：这个策略适用于Windows 2000/XP/Server 2003</P>
<P>知道了Explorer.EXE自动重启原因以后，就要说说是谁重新启动了Explorer.EXE。</P>
<P>是WinLogon.EXE，Windows登录/注销等一系列操作的关键进程，在侦测到Explorer.EXE停止以后自动重新启动了Explorer.EXE。</P>
<H5>整个大致的流程是这样的：</H5>
<OL>
<LI>当使用TerminateProcess()函数且uExitCode不为1时去结束Explorer.EXE进程，会有一个消息给SAS（Secure Attention Sequence，关于SAS的解释请看 MSDN Magazine, 2005年5月号，《<U>Customizing GINA, Part 1</U>》），在这个消息处理函数里面会检查uExitCode的值和AutoRestartShell的值，如果发现uExitCode的值是1的话则不进行后面的操作，否则会检查AutoRestartShell的值，如果是1的话会自动重新启动Explorer.EXE。表现为由Winlogon.EXE启动。
<LI>如果TerminateProcess()函数的参数uExitCode为1的话，那么Windows会认为这个进程结束是graceful的，则不会检查AutoRestartShell的值。
<LI>自动唤醒的时间是2000毫秒。</LI></OL>
<P>至此，关于Explorer.EXE自动重启的解释就告一个段落了，在研究过程中得到了众多朋友的帮助，向他们表示由衷的感谢。希望本文能够帮助大家对Windows的一些行为有更多的理解。</P> <
页:
[1]