获取进程CPU占用率 -- NtQuerySystemInformation
今天，我们主要讨论的是一个函数NtQuerySystemInformation(ZwQuerySystemInformation)。当然，你不要小看这么一个函数，它却为我们提供了丰富的系统信息，同时还包
括对某些信息的控制和设置。
以下是这个函数的原型：
typedef NTSTATUS (__stdcall *NTQUERYSYSTEMINFORMATION)
(IN SYSTEM_INFORMATION_CLASS SystemInformationClass,
IN OUT PVOID SystemInformation,
IN ULONG SystemInformationLength,
OUT PULONG ReturnLength OPTIONAL);
NTQUERYSYSTEMINFORMATION NtQuerySystemInformation;SystemInformationClass是一个类型信息，它大概提供了50余种信息，也就是我们可以通过这个函数对大约50多种的系统信息进行探测或设置。
SystemInformation是一个LPVOID型的指针，它为我们提供需要获得的信息，或是我们需要设置的系统信息。
SystemInformationLength是SystemInformation的长度，它根据探测的信息类型来决定。
至于ReturnLength则是系统返回的需要的长度，通常可以设置为空指针(NULL)。
首先，我们来看看大家比较熟悉的系统进程/线程相关的信息。这个题目在网上已经讨论了N多年了，所以我就不在老生常谈了，呵呵。那么就提出这个结构类型的定义：
typedef struct _SYSTEM_PROCESSES
{
ULONG NextEntryDelta; //构成结构序列的偏移量
ULONG ThreadCount; //线程数目
ULONG Reserved1[6];
LARGE_INTEGER CreateTime; //创建时间；
LARGE_INTEGER UserTime; //用户模式(Ring 3)的CPU时间
LARGE_INTEGER KernelTime; //内核模式(Ring 0)的CPU时间
UNICODE_STRING ProcessName; //进程名称
KPRIORITY BasePriority; //进程优先权
ULONG ProcessId; //进程标识符
ULONG InheritedFromProcessId; //父进程的标识符
ULONG HandleCount; //句柄数目
ULONG Reserved2[2];
VM_COUNTERS VmCounters; //虚拟存储器的结构，见下
IO_COUNTERS IoCounters; //IO计数结构，见下
SYSTEM_THREADS Threads[1]; //进程相关线程的结构数组，见下
}SYSTEM_PROCESSES,*PSYSTEM_PROCESSES;
typedef struct _SYSTEM_THREADS
{
LARGE_INTEGER KernelTime; //CPU内核模式使用时间
LARGE_INTEGER UserTime; //CPU用户模式使用时间
LARGE_INTEGER CreateTime; //线程创建时间
ULONG WaitTime; //等待时间
PVOID StartAddress; //线程开始的虚拟地址
CLIENT_ID ClientId; //线程标识符
KPRIORITY Priority; //线程优先级
KPRIORITY BasePriority; //基本优先级
ULONG ContextSwitchCount; //环境切换数目
THREAD_STATE State; //当前状态
KWAIT_REASON WaitReason; //等待原因
}SYSTEM_THREADS,*PSYSTEM_THREADS;
typedef struct _VM_COUNTERS
{
ULONG PeakVirtualSize; //虚拟存储峰值大小
ULONG VirtualSize; //虚拟存储大小
ULONG PageFaultCount; //页故障数目
ULONG PeakWorkingSetSize; //工作集峰值大小
ULONG WorkingSetSize; //工作集大小
ULONG QuotaPeakPagedPoolUsage; //分页池使用配额峰值
ULONG QuotaPagedPoolUsage; //分页池使用配额
ULONG QuotaPeakNonPagedPoolUsage; //非分页池使用配额峰值
ULONG QuotaNonPagedPoolUsage; //非分页池使用配额
ULONG PagefileUsage; //页文件使用情况
ULONG PeakPagefileUsage; //页文件使用峰值
}VM_COUNTERS,*PVM_COUNTERS;
typedef struct _IO_COUNTERS
{
LARGE_INTEGER ReadOperationCount; //I/O读操作数目
LARGE_INTEGER WriteOperationCount; //I/O写操作数目
LARGE_INTEGER OtherOperationCount; //I/O其他操作数目
LARGE_INTEGER ReadTransferCount; //I/O读数据数目
LARGE_INTEGER WriteTransferCount; //I/O写数据数目
LARGE_INTEGER OtherTransferCount; //I/O其他操作数据数目
}IO_COUNTERS,*PIO_COUNTERS;
以上这些信息应该是比较全面的了，在Win32 API里为我们提供了PSAPI(进程状态)和ToolHelp32这两种探测系统进程/线程信息的方式，在Windows2K/XP/2003都支持它们。
现在，我们来看看系统的性能信息，性能结构SYSTEM_PERFORMANCE_INFORMATION为我们提供了70余种系统性能方面的信息，真是太丰富了，请慢慢体会~
typedef struct _SYSTEM_PERFORMANCE_INFORMATION
{
LARGE_INTEGER IdleTime; //CPU空闲时间
LARGE_INTEGER ReadTransferCount; //I/O读操作数目
LARGE_INTEGER WriteTransferCount; //I/O写操作数目
LARGE_INTEGER OtherTransferCount; //I/O其他操作数目
ULONG ReadOperationCount; //I/O读数据数目
ULONG WriteOperationCount; //I/O写数据数目
ULONG OtherOperationCount; //I/O其他操作数据数目
ULONG AvailablePages; //可获得的页数目
ULONG TotalCommittedPages; //总共提交页数目
ULONG TotalCommitLimit; //已提交页数目
ULONG PeakCommitment; //页提交峰值
ULONG PageFaults; //页故障数目
ULONG WriteCopyFaults; //Copy-On-Write故障数目
ULONG TransitionFaults; //软页故障数目
ULONG Reserved1;
ULONG DemandZeroFaults; //需求0故障数
ULONG PagesRead; //读页数目
ULONG PageReadIos; //读页I/O操作数
ULONG Reserved2[2];
ULONG PagefilePagesWritten; //已写页文件页数
ULONG PagefilePageWriteIos; //已写页文件操作数
ULONG MappedFilePagesWritten; //已写映射文件页数
ULONG MappedFileWriteIos; //已写映射文件操作数
ULONG PagedPoolUsage; //分页池使用
ULONG NonPagedPoolUsage; //非分页池使用
ULONG PagedPoolAllocs; //分页池分配情况
ULONG PagedPoolFrees; //分页池释放情况
ULONG NonPagedPoolAllocs; //非分页池分配情况
ULONG NonPagedPoolFress; //非分页池释放情况
ULONG TotalFreeSystemPtes; //系统页表项释放总数
ULONG SystemCodePage; //操作系统代码页数
ULONG TotalSystemDriverPages; //可分页驱动程序页数
ULONG TotalSystemCodePages; //操作系统代码页总数
ULONG SmallNonPagedLookasideListAllocateHits; //
ULONG SmallPagedLookasideListAllocateHits;
ULONG Reserved3;
ULONG MmSystemCachePage; //系统缓存页数
ULONG PagedPoolPage; //分页池页数
ULONG SystemDriverPage; //可分页驱动页数
ULONG FastReadNoWait; //异步快速读数目
ULONG FastReadWait; //同步快速读数目
ULONG FastReadResourceMiss; //快速读资源冲突数
ULONG FastReadNotPossible; //快速读失败数
ULONG FastMdlReadNoWait; //异步MDL快速读数目
ULONG FastMdlReadWait; //同步MDL快速读数目
ULONG FastMdlReadResourceMiss; //MDL读资源冲突数
ULONG FastMdlReadNotPossible; //MDL读失败数
ULONG MapDataNoWait; //异步映射数据次数
ULONG MapDataWait; //同步映射数据次数
ULONG MapDataNoWaitMiss; //异步映射数据冲突次数
ULONG MapDataWaitMiss; //同步映射数据冲突次数
ULONG PinMappedDataCount; //牵制映射数据数目
ULONG PinReadNoWait; //牵制异步读数目
ULONG PinReadWait; //牵制同步读数目
ULONG PinReadNoWaitMiss; //牵制异步读冲突数目
ULONG PinReadWaitMiss; //牵制同步读冲突数目
ULONG CopyReadNoWait; //异步拷贝读次数
ULONG CopyReadWait; //同步拷贝读次数
ULONG CopyReadNoWaitMiss; //异步拷贝读故障次数
ULONG CopyReadWaitMiss; //同步拷贝读故障次数
ULONG MdlReadNoWait; //异步MDL读次数
ULONG MdlReadWait; //同步MDL读次数
ULONG MdlReadNoWaitMiss; //异步MDL读故障次数
ULONG MdlReadWaitMiss; //同步MDL读故障次数
ULONG ReadAheadIos; //向前读操作数目
ULONG LazyWriteIos; //LAZY写操作数目
ULONG LazyWritePages; //LAZY写页文件数目
ULONG DataFlushes; //缓存刷新次数
ULONG DataPages; //缓存刷新页数
ULONG ContextSwitches; //环境切换数目
ULONG FirstLevelTbFills; //第一层缓冲区填充次数
ULONG SecondLevelTbFills; //第二层缓冲区填充次数
ULONG SystemCall; //系统调用次数
}SYSTEM_PERFORMANCE_INFORMATION,*PSYSTEM_PERFORMANCE_INFORMATION;
现在看到的是结构SYSTEM_PROCESSOR_TIMES提供的系统处理器的使用情况，包括各种情况下的使用时间及中断数目：
typedef struct __SYSTEM_PROCESSOR_TIMES
{
LARGE_INTEGER IdleTime; //空闲时间
LARGE_INTEGER KernelTime; //内核模式时间
LARGE_INTEGER UserTime; //用户模式时间
LARGE_INTEGER DpcTime; //延迟过程调用时间
LARGE_INTEGER InterruptTime; //中断时间
ULONG InterruptCount; //中断次数
}SYSTEM_PROCESSOR_TIMES,*PSYSTEM_PROCESSOR_TIMES;
页文件的使用情况，SYSTEM_PAGEFILE_INFORMATION提供了所需的相关信息：
typedef struct _SYSTEM_PAGEFILE_INFORMATION
{
ULONG NetxEntryOffset; //下一个结构的偏移量
ULONG CurrentSize; //当前页文件大小
ULONG TotalUsed; //当前使用的页文件数
ULONG PeakUsed; //当前使用的页文件峰值数
UNICODE_STRING FileName; //页文件的文件名称
}SYSTEM_PAGEFILE_INFORMATION,*PSYSTEM_PAGEFILE_INFORMATION;
系统高速缓存的使用情况参见结构SYSTEM_CACHE_INFORMATION提供的信息：
typedef struct _SYSTEM_CACHE_INFORMATION
{
ULONG SystemCacheWsSize; //高速缓存大小
ULONG SystemCacheWsPeakSize; //高速缓存峰值大小
ULONG SystemCacheWsFaults; //高速缓存页故障数目
ULONG SystemCacheWsMinimum; //高速缓存最小页大小
ULONG SystemCacheWsMaximum; //高速缓存最大页大小
ULONG TransitionSharedPages; //共享页数目
ULONG TransitionSharedPagesPeak; //共享页峰值数目
ULONG Reserved[2];
}SYSTEM_CACHE_INFORMATION,*PSYSTEM_CACHE_INFORMATION;
附录：(所有完整源代码，您可以到我们FZ5FZ的主页下载)。
1.T-PMList的头文件源代码：
DWORD EnumProcess()
{
PSYSTEM_PROCESSES pSystemProc;
HMODULE hNtDll = NULL;
LPVOID lpSystemInfo = NULL;
DWORD dwNumberBytes = MAX_INFO_BUF_LEN;
DWORD dwTotalProcess = 0;
DWORD dwReturnLength;
NTSTATUS Status;
LONGLONG llTempTime;
__try
{
hNtDll = LoadLibrary("NtDll.dll");
if (hNtDll == NULL)
{
printf("LoadLibrary Error: %d\n", GetLastError());
__leave;
}
NtQuerySystemInformation = (NTQUERYSYSTEMINFORMATION)GetProcAddress(hNtDll, "NtQuerySystemInformation");
if (NtQuerySystemInformation == NULL)
{
printf("GetProcAddress for NtQuerySystemInformation Error: %d\n", GetLastError());
__leave;
}
lpSystemInfo = (LPVOID)malloc(dwNumberBytes);
Status = NtQuerySystemInformation(NT_PROCESSTHREAD_INFO,lpSystemInfo,dwNumberBytes,&dwReturnLength);
if (Status == STATUS_INFO_LENGTH_MISMATCH)
{
printf("STATUS_INFO_LENGTH_MISMATCH\n");
__leave;
}
else if (Status != STATUS_SUCCESS)
{
printf("NtQuerySystemInformation Error: %d\n", GetLastError());
__leave;
}
printf("%-20s%6s%7s%8s%6s%7s%7s%13s\n",
"ProcessName", "PID", "PPID", "WsSize", "Prio.","Thread","Handle","CPU Time");
printf("-------------------------------------------------------------------\n");
pSystemProc = (PSYSTEM_PROCESSES)lpSystemInfo;
while (pSystemProc->NextEntryDelta != 0)
{
if (pSystemProc->ProcessId != 0)
{
wprintf(L"%-20s", pSystemProc->ProcessName.Buffer);
}
else
{
wprintf(L"%-20s", L"System Idle Process");
}
printf("%6d", pSystemProc->ProcessId);
printf("%7d", pSystemProc->InheritedFromProcessId);
printf("%7dK", pSystemProc->VmCounters.WorkingSetSize / 1024);
printf("%6d", pSystemProc->BasePriority);
printf("%7d", pSystemProc->ThreadCount);
printf("%7d", pSystemProc->HandleCount);
llTempTime = pSystemProc->KernelTime.QuadPart + pSystemProc->UserTime.QuadPart;
llTempTime /= 10000;
printf("%3d:", llTempTime / (60 * 60 * 1000));
llTempTime %= 60 * 60 * 1000;
printf("%.2d:", llTempTime / (60 * 1000));
llTempTime %= 60 * 1000;
printf("%.2d.", llTempTime / 1000);
llTempTime %= 1000;
printf("%.3d", llTempTime);
printf("\n");
dwTotalProcess++;
pSystemProc = (PSYSTEM_PROCESSES)((char *)pSystemProc + pSystemProc->NextEn tryDelta);
}
printf("-------------------------------------------------------------------\n");
printf("\nTotal %d Process(es) !\n\n", dwTotalProcess);
printf("PID\t ==> Process Identification\n");
printf("PPID\t ==> Parent Process Identification\n");
printf("WsSize\t ==> Working Set Size\n");
printf("Prio.\t ==> Base Priority\n");
printf("Thread\t ==> Thread Count\n");
printf("Handle\t ==> Handle Count\n");
printf("CPU Time ==> Processor Time\n");
}
__finally
{
if (lpSystemInfo != NULL)
{
free(lpSystemInfo);
}
if (hNtDll != NULL)
{
FreeLibrary(hNtDll);
}
}
return 0;
}
http://blog.csdn.net/wwwwly/article/details/7083561