createtoolhelp32snapshot 是 windows api 函数，用于获取进程等系统对象的只读快照句柄，需配合 process32first/next 遍历，返回信息仅含 pid、映像名等元数据，不含完整路径或内存状态，且须显式关闭句柄并注意权限与架构匹配。
GetProcessSnapshot 不存在，得用 CreateToolhelp32Snapshot
Windows 下没有叫 GetProcessSnapshot 或类似名字的 C++ 标准函数。真正在用的是 Windows API 的 CreateToolhelp32Snapshot，它返回一个“快照句柄”，不是进程内存镜像，而是当前时刻系统中进程、线程、模块等信息的只读副本。
常见错误是以为它能抓取目标进程的内存状态（比如寄存器、堆栈），其实不能——它只提供静态元数据：PID、父 PID、映像名、创建时间等。
-
CreateToolhelp32Snapshot必须搭配Process32First/Process32Next遍历，不能直接读取 - 调用前需确保有
SE_DEBUG_NAME权限（否则可能看不到系统进程或被拒绝访问） - 快照句柄必须用
CloseHandle显式关闭，否则泄漏内核对象 - 快照本身不实时更新，后续进程变化不会反映在已获取的快照中
遍历进程时 PROCESSENTRY32 的 szExeFile 只有文件名，不含路径
很多人想靠快照拿到某个进程的完整路径（比如判断是不是 C:\App\evil.exe），但 PROCESSENTRY32.szExeFile 字段只存进程映像名（如 notepad.exe），不是全路径。这是设计限制，不是 bug。
若真需要路径，得额外调用 OpenProcess + QueryFullProcessImageName（Win7+）或 GetModuleFileNameEx（需 Psapi.lib），且要求有足够权限。
-
QueryFullProcessImageName第二个参数传0表示获取 Win32 路径；传1是 NT 内部路径（\Device\HarddiskVolume1\...） - 即使开了
SE_DEBUG_NAME，某些保护进程（如杀软、Edge renderer 进程）仍会拒绝打开，OpenProcess返回NULL - 32 位程序调用
QueryFullProcessImageName获取 64 位进程路径会失败，需匹配架构或用Wow64DisableWow64FsRedirection
权限不够时 CreateToolhelp32Snapshot 不报错，但遍历不到进程
CreateToolhelp32Snapshot 即使没权限也会成功返回句柄，只是后续 Process32First 可能返回 FALSE，且 GetLastError() 是 ERROR_PARTIAL_COPY 或更隐蔽的 ERROR_ACCESS_DENIED —— 很多人忽略检查错误码，以为“没进程”。
典型场景：普通用户运行程序去扫 svchost.exe 或 lsass.exe，句柄看着正常，但循环一次就停了。
- 务必在
Process32First后立刻检查返回值，再调GetLastError() - 提升权限不是加个 manifest 就行，还得实际以管理员身份运行（UAC 弹窗确认）
- 有些进程即使管理员也没法读（如受 HVCI 或 Credential Guard 保护的
lsass.exe），这时连OpenProcess都会被拦截
别用快照替代实时监控，它本质是“拍照片”
快照适合做一次性枚举（比如任务管理器启动时列进程），不适合监听进程启停。有人试图每 100ms 重打快照对比 PID 列表来“监控”，这既低效又不可靠：进程 PID 可能复用，快照间隙里进程可能已启停多次。
真要响应进程创建/退出，得用 WTSRegisterSessionNotification + WM_WTSSESSION_CHANGE（粗粒度）、或驱动级 ETW/Event Log 订阅（精确但复杂），再或者用 PsSetCreateProcessNotifyRoutine（仅驱动）。
- 频繁调用
CreateToolhelp32Snapshot会触发内核锁竞争，尤其在多核高负载下性能抖动明显 - 快照句柄本身占用内核资源，短生命周期也要
CloseHandle，否则累积后系统变慢 - 64 位系统上，32 位进程快照看不到 64 位进程的完整信息（如某些字段为 0），这不是 bug，是 WoW64 层的裁剪行为
C++免费学习笔记（深入）：立即使用
在学习笔记中，你将探索 C++ 的入门与实战技巧！
