Windows普通用户获取全进程镜像路径遇权限问题求指导

这问题我之前帮同事排查过，普通用户权限下Windows对进程信息的访问确实有不少限制，给你几个可行的方向试试：

1. 优先用QueryFullProcessImageNameW配合PROCESS_QUERY_LIMITED_INFORMATION #

你已经能通过PROCESS_QUERY_LIMITED_INFORMATION拿到进程句柄，这个权限其实是允许调用QueryFullProcessImageNameW的——这是微软专门为普通用户场景设计的API，能返回进程的完整镜像路径。示例代码大概是这样的：

HANDLE hProcess = OpenProcess(PROCESS_QUERY_LIMITED_INFORMATION, FALSE, dwProcessId);
if (hProcess != NULL) {
    WCHAR szPath[MAX_PATH] = {0};
    DWORD dwSize = MAX_PATH;
    if (QueryFullProcessImageNameW(hProcess, 0, szPath, &dwSize)) {
        // szPath里就是完整路径
    }
    CloseHandle(hProcess);
}

注意一定要用宽字符版本的函数，避免编码问题导致的异常。

2. 处理系统/受保护进程的特殊情况 #

像csrss.exe、smss.exe这类核心系统进程，或者微软的受保护进程（比如某些系统服务），普通用户哪怕有PROCESS_QUERY_LIMITED_INFORMATION权限也拿不到路径。这时候可以做两种处理：

• 针对常见系统进程，直接返回已知的默认路径（比如csrss.exe通常在C:\Windows\System32下）；
• 友好提示用户“无法获取该进程的镜像路径”，不要强行报错。

3. 尝试WMI查询绕开进程权限限制 #

WMI的Win32_Process类提供了ExecutablePath属性，很多时候普通用户权限就能查询到进程路径——因为WMI有自己的权限委托机制，能绕过直接调用进程API的限制。你可以通过COM调用WMI，执行类似SELECT ExecutablePath, ProcessId FROM Win32_Process的查询，把结果和之前用CreateToolhelp32Snapshot拿到的PID对应起来。

4. 关于ZwQueryInformationProcess的正确姿势 #

如果一定要用这个函数，注意普通用户权限下只能访问部分信息类。比如先调用ProcessBasicInformation获取PEB地址，再用ProcessImageFileNameInformation尝试读取路径，但这个方法对系统进程依然会失败，而且需要处理缓冲区大小的问题，不如QueryFullProcessImageNameW省心。

最后提醒下：所有路径获取操作都要做好错误处理，比如捕获ERROR_ACCESS_DENIED后直接跳过该进程或者提示，不要让程序崩溃。

内容的提问来源于stack exchange，提问作者user93938