NtQuerySystemInformation详解.

NtQuerySystemInformation详解.

Native API乃Windows用户模式中为上层Win32 API提供接口的本机系统服务。平常我们总是调用MS为我们提供的公用的Win32 API函数来实现来实现我们系统的功能。今天我们要谈的是如何通过本机系统服务(Native API）来探测本机系统信息。当然，微软没有为我们提供关于本机系统服务的文档 (Undocumented)，也就是不会为对它的使用提供任何的保证，所以我们不提倡使用Native API来开发软件。不过在特殊情况下，本机系统服务却为我们提供了通向“秘密”的捷径。本文提到的信息仅在Windows2000/XP/2003上测试 过。

今天，我们主要讨论的是一个函数NtQuerySystemInformation(ZwQuerySystemInformation)。当然，你不要小看这么一个函数，它却为我们提供了丰富的系统信息，同时还包括对某些信息的控制和设置。以下是这个函数的原型：

typedef NTSTATUS (__stdcall *NTQUERYSYSTEMINFORMATION)

(IN　　 SYSTEM_INFORMATION_CLASS SystemInformationClass,

IN OUT PVOID　　　　　　　　　　SystemInformation,

IN　　 ULONG　　　　　　　　　　SystemInformationLength,

OUT　　 PULONG　　　　　　　　 ReturnLength OPTIONAL)；

NTQUERYSYSTEMINFORMATION NtQuerySystemInformation；

NtQuerySystemInformation这个函数有四个参数： 第一个参数是dwRecordType，这个参数指定了我们所查询的系统信息类型，为了查询系统HANDLE列表，我们定义一个常量#define NT_HANDLE_LIST 16（这个数值我是查资料得到的，如果谁有更详细的资料，也请让我共享一下）。

第二个参数是一个指针，这个指针用来返回系统句柄列表，在调用NtQuerySystemInformation函数之前，必须为这个指针分配足够的内存空间，否则函数调用会出错。

第三个参数是指定你为HandleList所分配的内存空间大小，单位是byte。

第四个参数是NtQuerySystemInformation返回的HandleList的大小；如果NtQuerySystemInformation函数调用成功，返回值将是0，否则可以使用GetLastError()获得详细的错误代码。

从中可以看到，SystemInformationClass是一个类型信息，它大概提供了50余种信息，也就是我们可以通过这个函数对大约50多种 的系统信息进行探测或设置。SystemInformation是一个LPVOID型的指针，它为我们提供需要获得的信息，或是我们需要设置的系统信息。 SystemInformationLength是SystemInformation的长度，它根据探测的信息类型来决定。至于 ReturnLength则是系统返回的需要的长度，通常可以设置为空指针(NULL)。

首先，我们来看看大家比较熟悉的系统进程/线程相关的信息。这个题目在网上已经讨论了N多年了，所以我就不在老生常谈了，呵呵。那么就提出这个结构类型的定义：

typedef struct _SYSTEM_PROCESSES

{

ULONG　　　　 NextEntryDelta；　　　　 //构成结构序列的偏移量；

ULONG　　　　 ThreadCount；　　　　　　 //线程数目；

ULONG　　　　 Reserved1[6]；　　　　

LARGE_INTEGER CreateTime；　　　　　　 //创建时间；

LARGE_INTEGER UserTime；　　　　　　　　//用户模式(Ring 3)的CPU时间；

LARGE_INTEGER KernelTime；　　　　　　 //内核模式(Ring 0)的CPU时间；

UNICODE_STRING ProcessName；　　　　　　 //进程名称；

KPRIORITY　　 BasePriority；　　　　　　//进程优先权；

ULONG　　　　 ProcessId；　　　　　　 //进程标识符；

ULONG　　　　 InheritedFromProcessId； //父进程的标识符；

ULONG　　　　 HandleCount；　　　　　　 //句柄数目；

ULONG　　　　 Reserved2[2]；

VM_COUNTERS　　VmCounters；　　　　　　 //虚拟存储器的结构，见下；

IO_COUNTERS　　IoCounters；　　　　　　 //IO计数结构，见下；

SYSTEM_THREADS Threads[1]；　　　　　　 //进程相关线程的结构数组，见下；

}SYSTEM_PROCESSES,*PSYSTEM_PROCESSES；

typedef struct _SYSTEM_THREADS

{

LARGE_INTEGER KernelTime；　　　　　　 //CPU内核模式使用时间；

LARGE_INTEGER UserTime；　　　　　　　　 //CPU用户模式使用时间；

LARGE_INTEGER CreateTime；　　　　　　 //线程创建时间；

ULONG　　　　 WaitTime；　　　　　　　　 //等待时间；

PVOID　　　　 StartAddress；　　　　　　 //线程开始的虚拟地址；

CLIENT_ID　　 ClientId；　　　　　　　　 //线程标识符；

KPRIORITY　　 Priority；　　　　　　　　 //线程优先级；

KPRIORITY　　 BasePriority；　　　　　　 //基本优先级；

ULONG　　　　 ContextSwitchCount；　　 //环境切换数目；

THREAD_STATE State；　　　　　　　　　　//当前状态；

KWAIT_REASON WaitReason；　　　　　　 //等待原因；

}SYSTEM_THREADS,*PSYSTEM_THREADS；

typedef struct _VM_COUNTERS

{

ULONG PeakVirtualSize；　　　　　　　　 //虚拟存储峰值大小；

ULONG VirtualSize；　　　　　　　　　　 //虚拟存储大小；

ULONG PageFaultCount；　　　　　　　　 //页故障数目；

ULONG PeakWorkingSetSize；　　　　　　 //工作集峰值大小；

ULONG WorkingSetSize；　　　　　　　　 //工作集大小；

ULONG QuotaPeakPagedPoolUsage；　　　　 //分页池使用配额峰值；

ULONG QuotaPagedPoolUsage；　　　　　　 //分页池使用配额；

ULONG QuotaPeakNonPagedPoolUsage；　　 //非分页池使用配额峰值；

ULONG QuotaNonPagedPoolUsage；　　　　 //非分页池使用配额；

ULONG PagefileUsage；　　　　　　　　　　//页文件使用情况；

ULONG PeakPagefileUsage；　　　　　　　　//页文件使用峰值；

}VM_COUNTERS,*PVM_COUNTERS；

typedef struct _IO_COUNTERS

{

LARGE_INTEGER ReadOperationCount；　　 //I/O读操作数目；

LARGE_INTEGER WriteOperationCount；　　 //I/O写操作数目；

LARGE_INTEGER OtherOperationCount；　　 //I/O其他操作数目；

LARGE_INTEGER ReadTransferCount；　　　　//I/O读数据数目；

LARGE_INTEGER WriteTransferCount；　　 //I/O写数据数目；

LARGE_INTEGER OtherTransferCount；　　 //I/O其他操作数据数目；

}IO_COUNTERS,*PIO_COUNTERS；

以上这些信息应该是比较全面的了，在Win32 API里为我们提供了PSAPI(进程状态)和ToolHelp32这两种探测系统进程/线程信息的方式，在Windows2K/XP/2003都支持它们。

现在，我们来看看系统的性能信息，性能结构SYSTEM_PERFORMANCE_INFORMATION为我们提供了70余种系统性能方面的信息，真是太丰富了，请慢慢体会~

typedef struct _SYSTEM_PERFORMANCE_INFORMATION
{
 LARGE_INTEGER IdleTime;          //CPU空闲时间;
 
 LARGE_INTEGER ReadTransferCount;     //I/O读操作数目;
 
 LARGE_INTEGER WriteTransferCount;     //I/O写操作数目;
 
 LARGE_INTEGER OtherTransferCount;     //I/O其他操作数目;
 
 ULONG     ReadOperationCount;     //I/O读数据数目;
 
 ULONG     WriteOperationCount;     //I/O写数据数目;
 
 ULONG     OtherOperationCount;     //I/O其他操作数据数目;
 
 ULONG     AvailablePages;       //可获得的页数目;
 
 ULONG     TotalCommittedPages;     //总共提交页数目;
 
 ULONG     TotalCommitLimit;      //已提交页数目;
 
 ULONG     PeakCommitment;       //页提交峰值;
 
 ULONG     PageFaults;         //页故障数目;
 
 ULONG     WriteCopyFaults;       //Copy-On-Write故障数目;
 
 ULONG     TransitionFaults;      //软页故障数目;
 
 ULONG     CacheTransitionFaults; //=================
 
 ULONG     DemandZeroFaults;      //需求0故障数;
 
 ULONG     PagesRead;         //读页数目;
 
 ULONG     PageReadIos;         //读页I/O操作数;
 
 ULONG     CacheReadFaults;
 
 ULONG     CacheIoFaults;
 
 ULONG     PagefilePagesWritten;    //已写页文件页数;
 
 ULONG     PagefilePageWriteIos;    //已写页文件操作数;
 
 ULONG     MappedFilePagesWritten;   //已写映射文件页数;
 
 ULONG     MappedFileWriteIos;     //已写映射文件操作数;
 
 ULONG     PagedPoolUsage;       //分页池使用;
 
 ULONG     NonPagedPoolUsage;     //非分页池使用;
 
 ULONG     PagedPoolAllocs;       //分页池分配情况;
 
 ULONG     PagedPoolFrees;       //分页池释放情况;
 
 ULONG     NonPagedPoolAllocs;     //非分页池分配情况;
 
 ULONG     NonPagedPoolFress;     //非分页池释放情况;
 
 ULONG     TotalFreeSystemPtes;     //系统页表项释放总数;
 
 ULONG     SystemCodePage;       //操作系统代码页数;
 
 ULONG     TotalSystemDriverPages;   //可分页驱动程序页数;
 
 ULONG     TotalSystemCodePages;    //操作系统代码页总数;
 
 ULONG     SmallNonPagedLookasideListAllocateHits; //小非分页侧视列表分配次数;
 
 ULONG     SmallPagedLookasideListAllocateHits;  //小分页侧视列表分配次数;
 
 ULONG     Reserved3;       
 
 ULONG     MmSystemCachePage;     //系统缓存页数;
 
 ULONG     PagedPoolPage;       //分页池页数;
 
 ULONG     SystemDriverPage;     //可分页驱动页数;
 
 ULONG     FastReadNoWait;       //异步快速读数目;
 
 ULONG     FastReadWait;       //同步快速读数目;
 
 ULONG     FastReadResourceMiss;   //快速读资源冲突数;
 
 ULONG     FastReadNotPossible;    //快速读失败数;
 
 ULONG     FastMdlReadNoWait;     //异步MDL快速读数目;
 
 ULONG     FastMdlReadWait;      //同步MDL快速读数目;
 
 ULONG     FastMdlReadResourceMiss;  //MDL读资源冲突数;
 
 ULONG     FastMdlReadNotPossible;   //MDL读失败数;
 
 ULONG     MapDataNoWait;       //异步映射数据次数;
 
 ULONG     MapDataWait;        //同步映射数据次数;
 
 ULONG     MapDataNoWaitMiss;     //异步映射数据冲突次数;
 
 ULONG     MapDataWaitMiss;      //同步映射数据冲突次数;
 
 ULONG     PinMappedDataCount;     //牵制映射数据数目;
 
 ULONG     PinReadNoWait;       //牵制异步读数目;
 
 ULONG     PinReadWait;        //牵制同步读数目;
 
 ULONG     PinReadNoWaitMiss;     //牵制异步读冲突数目;
 
 ULONG     PinReadWaitMiss;      //牵制同步读冲突数目;
 
 ULONG     CopyReadNoWait;       //异步拷贝读次数;
 
 ULONG     CopyReadWait;       //同步拷贝读次数;
 
 ULONG     CopyReadNoWaitMiss;     //异步拷贝读故障次数;
 
 ULONG     CopyReadWaitMiss;     //同步拷贝读故障次数;
 
 ULONG     MdlReadNoWait;       //异步MDL读次数;
 
 ULONG     MdlReadWait;        //同步MDL读次数;
 
 ULONG     MdlReadNoWaitMiss;     //异步MDL读故障次数;
 
 ULONG     MdlReadWaitMiss;      //同步MDL读故障次数;
 
 ULONG     ReadAheadIos;       //向前读操作数目;
 
 ULONG     LazyWriteIos;       //LAZY写操作数目;
 
 ULONG     LazyWritePages;       //LAZY写页文件数目;
 
 ULONG     DataFlushes;        //缓存刷新次数;
 
 ULONG     DataPages;         //缓存刷新页数;
 
 ULONG     ContextSwitches;      //环境切换数目;
 
 ULONG     FirstLevelTbFills;     //第一层缓冲区填充次数;
 
 ULONG     SecondLevelTbFills;     //第二层缓冲区填充次数;
 
 ULONG     SystemCall;         //系统调用次数;
}SYSTEM_PERFORMANCE_INFORMATION,*PSYSTEM_PERFORMANCE_INFORMATION;

现在看到的是结构SYSTEM_PROCESSOR_TIMES提供的系统处理器的使用情况，包括各种情况下的使用时间及中断数目：

typedef struct __SYSTEM_PROCESSOR_TIMES

{

LARGE_INTEGER IdleTime；　　　　　　 //空闲时间；

LARGE_INTEGER KernelTime；　　　　　　 //内核模式时间；

LARGE_INTEGER UserTime；　　　　　　 //用户模式时间；

LARGE_INTEGER DpcTime；　　　　　　　　//延迟过程调用时间；

LARGE_INTEGER InterruptTime；　　　　 //中断时间；

ULONG　　　　 InterruptCount；　　　　 //中断次数；

}SYSTEM_PROCESSOR_TIMES,*PSYSTEM_PROCESSOR_TIMES；

页文件的使用情况，SYSTEM_PAGEFILE_INFORMATION提供了所需的相关信息：

typedef struct _SYSTEM_PAGEFILE_INFORMATION

{

ULONG NetxEntryOffset；　　　　　　　　//下一个结构的偏移量；

ULONG CurrentSize；　　　　　　　　　　//当前页文件大小；

ULONG TotalUsed；　　　　　　　　　　 //当前使用的页文件数；

ULONG PeakUsed；　　　　　　　　　　 //当前使用的页文件峰值数；

UNICODE_STRING FileName；　　　　　　 //页文件的文件名称；

}SYSTEM_PAGEFILE_INFORMATION,*PSYSTEM_PAGEFILE_INFORMATION；

系统高速缓存的使用情况参见结构SYSTEM_CACHE_INFORMATION提供的信息：

typedef struct _SYSTEM_CACHE_INFORMATION

{

ULONG SystemCacheWsSize；　　　　　　 //高速缓存大小；

ULONG SystemCacheWsPeakSize；　　　　 //高速缓存峰值大小；

ULONG SystemCacheWsFaults；　　　　　　//高速缓存页故障数目；

ULONG SystemCacheWsMinimum；　　　　 //高速缓存最小页大小；

ULONG SystemCacheWsMaximum；　　　　 //高速缓存最大页大小；

ULONG TransitionSharedPages；　　　　 //共享页数目；

ULONG TransitionSharedPagesPeak；　　 //共享页峰值数目；

ULONG Reserved[2]；

}SYSTEM_CACHE_INFORMATION,*PSYSTEM_CACHE_INFORMATION