Explorer进程被杀后会被Windows重新加载吗（二）

月芽儿

上次说到当使用TerminateProcess()函数并将参数uExitCode设置为非1时去结束Explorer.EXE进程，Windows会自动唤醒Explorer.EXE进程。今天将继续讨论这个问题。

上次讨论到系统启动的时候，Explorer.EXE进程是由UserInit.EXE进程启动的，然后UserInit.EXE进程退出（关于这一点可以参考《Windows Internals, 4th》一书关于启动过程上的介绍），但是对于当我们使用TerminateProcess()函数并将参数uExitCode设置为非1时去结束Explorer.EXE进程这种情况，被唤醒的Explorer.EXE进程的父进程并不是UserInit.EXE，跟踪发现这个时候UserInit.EXE进程并没有出现，那么是谁唤醒了Explorer.EXE进程呢？为什么会唤醒这个进程呢？

进一步的探索发现，Windows是否唤醒Explorer.EXE进程需要确定2个条件：
1、 TerminateProcess()函数的uExitCode的值
2、 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\AutoRestartShell的值
上次说到当uExitCode的值是非1的时候，Windows 将自动重启Explorer.EXE，但是进一步的研究可以得知，如果AutoRestartShell的值是0的话，无论uExitCode的值是多少Windows均不会自动唤醒Explorer.EXE。

关于AutoRestartShell值的介绍，我查阅了一些资料，得到了下面的一些信息：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\AutoRestartShell
类型：REG_DWORD
默认值：1
值含义：
1 如果Windows用户界面或他的某个组建以外的终止运行，则用户界面会自动重新启动。
0 如果Windows用户界面或他的某个组建以外的终止运行，则用户界面不会自动重新启动。
*注1：这里说的Windows用户界面通常指Explorer.EXE
*注2：这个策略适用于Windows 2000/XP/Server 2003

知道了Explorer.EXE自动重启原因以后，就要说说是谁重新启动了Explorer.EXE。

是WinLogon.EXE，Windows登录/注销等一系列操作的关键进程，在侦测到Explorer.EXE停止以后自动重新启动了Explorer.EXE。

整个大致的流程是这样的：

1. 当使用TerminateProcess()函数且uExitCode不为1时去结束Explorer.EXE进程，会有一个消息给SAS（Secure Attention Sequence，关于SAS的解释请看 MSDN Magazine, 2005年5月号，《Customizing GINA, Part 1》），在这个消息处理函数里面会检查uExitCode的值和AutoRestartShell的值，如果发现uExitCode的值是1的话则不进行后面的操作，否则会检查AutoRestartShell的值，如果是1的话会自动重新启动Explorer.EXE。表现为由Winlogon.EXE启动。
2. 如果TerminateProcess()函数的参数uExitCode为1的话，那么Windows会认为这个进程结束是graceful的，则不会检查AutoRestartShell的值。
3. 自动唤醒的时间是2000毫秒。

至此，关于Explorer.EXE自动重启的解释就告一个段落了，在研究过程中得到了众多朋友的帮助，向他们表示由衷的感谢。希望本文能够帮助大家对Windows的一些行为有更多的理解。

<