函式ZwQuerySystemInformation小結

NTSTATUS WINAPI ZwQuerySystemInformation(

  __in          SYSTEM_INFORMATION_CLASSSystemInformationClass,

  __in_out     PVOIDSystemInformation,

  __in          ULONGSystemInformationLength,

  __out_opt    PULONGReturnLength

);

至於第一個引數SYSTEM_INFORMATION_CLASS是一個列舉結構。列舉了所有的54個系統資訊。該結構在最後將會列舉出來。

先宣告一個函式。
typedef NTSTATUS (WINAPI *NTQUERYSYSTEMINFORMATION)(INSYSTEM_INFORMATION_CLASS,IN OUT PVOID,INULONG,OUTPULONG);

載入NTDLL.DLL，獲取函式地址。

NTQUERYSYSTEMINFORMATIONZwQuerySystemInformation = NULL;

ZwQuerySystemInformation =

(NTQUERYSYSTEMINFORMATION)GetProcAddress(ntdll.dll,"ZwQuerySystemInfromation");

舉例：列舉程式資訊
要想獲取程式資訊，必須使用第二個引數，第二個引數指向一塊記憶體。必須使用引數1中每個系統資訊對應的結構體來將該記憶體進行轉換。
假設我們要列舉程式資訊，必須使用下列結構，該結構描述了程式名，執行緒數，指向下一個模組的指標，建立時間等等。結構描述如下：

typedef struct _SYSTEM_PROCESSES  
{  
    ULONG          NextEntryDelta;          //構成結構序列的偏移量；  
    ULONG          ThreadCount;             //執行緒數目；  
    ULONG          Reserved1[6];             
    LARGE_INTEGER  CreateTime;              //建立時間；  
    LARGE_INTEGER  UserTime;                //使用者模式(Ring 3)的CPU時間；  
    LARGE_INTEGER  KernelTime;              //核心模式(Ring 0)的CPU時間；  
    UNICODE_STRING ProcessName;             //程式名稱；  
    KPRIORITY      BasePriority;            //程式優先權；  
    HANDLE         ProcessId;               //程式識別符號；  
    HANDLE         InheritedFromProcessId;  //父程式的識別符號；  
    ULONG          HandleCount;             //控制程式碼數目；  
    ULONG          Reserved2[2];  
    VM_COUNTERS    VmCounters;              //虛擬儲存器的結構；  
    IO_COUNTERS    IoCounters;              //IO計數結構；  
    SYSTEM_THREADS Threads[1];              //程式相關執行緒的結構陣列；  
}SYSTEM_PROCESSES,*PSYSTEM_PROCESSES; 

 迴圈程式如下：

 PSYSTEM_PROCESSES psp=NULL; 

//先為引數2設為空，dwNeedSize獲取儲存該結構體的記憶體大小
status = ZwQuerySystemInformation(SystemProcessesAndThreadsInformation, NULL, 0, &dwNeedSize); 

//若使用者提供的緩衝區大小不夠，則返回STATUS_INFO_LENGTH_MISMATCH，並返回實際需要的緩衝區大小
if ( status ==STATUS_INFO_LENGTH_MISMATCH ) {   
           pBuffer = new BYTE[dwNeedSize];  
            status =ZwQuerySystemInformation(SystemProcessesAndThreadsInformation, (PVOID)pBuffer,dwNeedSize, NULL);  
           if ( status ==STATUS_SUCCESS )  
            {  
               psp = (PSYSTEM_PROCESSES)pBuffer; //強制轉換
               printf("PID  執行緒數工作集大小程式名\n");
               do {  
                   printf("%-4d",psp->ProcessId);
                   printf(" %3d",psp->ThreadCount);  
                   printf(" %8dKB",psp->VmCounters.WorkingSetSize/1024);
                   wprintf(L" %s\n",psp->ProcessName.Buffer);
                   psp = (PSYSTEM_PROCESSES)((ULONG)psp +psp->NextEntryDelta );  
                }while ( psp->NextEntryDelta != 0 );//迴圈遍歷
        }
        delete []pBuffer;  
        pBuffer =NULL; 
  }

NTSYSAPI

NTSTATUS

NTAPI ZwQuerySystemInformation(

            IN ULONG SystemInformationClass,

            IN OUT PVOID SystemInformation,

            IN ULONG SystemInformationLength,

            OUT PULONG ReturnLength);

#if (defined(_NTDRIVER_) || defined(_NTDDK_) || defined(_NTIFS_) || defined(_NTHAL_)) && !defined(_BLDR_)

    #define NTKERNELAPI DECLSPEC_IMPORT         // wdm

#else

    #define NTKERNELAPI

#endif

//////////////////////////////////////////////////////////////////////////
//
//    使用ZwQuerySystemInformation函式列舉程式
//
//////////////////////////////////////////////////////////////////////////
VOID
EnumProcessList1()
{
    ULONG cbBuffer = 0x10000;
    ULONG dwCount  = 0;
    PVOID pBuffer  = NULL;
    PSYSTEM_PROCESS_INFORMATION pInfo;

    pBuffer = ExAllocatePool(PagedPool, cbBuffer);
    // 獲取程式資訊
    KdPrint(("We Use ZwQuerySystemInformation!"));
    ZwQuerySystemInformation(    SystemProcessesAndThreadsInformation,
                                pBuffer,
                                cbBuffer,
                                NULL);

    pInfo = (PSYSTEM_PROCESS_INFORMATION)pBuffer;
    for( ; ; )
    {
        dwCount++;
        if (pInfo->ProcessId == 0)
        {
            KdPrint(("[%6d] System Idle Process", pInfo->ProcessId));
        }
        else
        {
            KdPrint(("[%6d] %wZ", pInfo->ProcessId, pInfo->ProcessName));
        }

        if (pInfo->NextEntryDelta == 0)
        {
            break;
        }

        pInfo = (PSYSTEM_PROCESS_INFORMATION)(((PUCHAR)pInfo) + pInfo->NextEntryDelta);
    }
    KdPrint(("ProcessCount = %d", dwCount));
    ExFreePool(pBuffer);
}

這是一個C程式碼程式，該程式是在ring3層寫的，主要內容是獲取CPU個數，列舉程式，列舉核心模組。該程式碼是從網上下載的，因為要用到這個函式，所以小小地研究了一下。

------------------------------------------------------------------------------------------------------------------------------------------

//該結構如下：
typedef struct _SYSTEM_MODULE_INFORMATION {
ULONG Count;
SYSTEM_MODULE_INFORMATION_ENTRY Module[1];
} SYSTEM_MODULE_INFORMATION, *PSYSTEM_MODULE_INFORMATION;

//模組詳細資訊結構如下：
typedef struct _SYSTEM_MODULE_INFORMATION_ENTRY {
HANDLE Section;
PVOID MappedBase;
PVOID Base;
ULONG Size;
ULONG Flags;
USHORT LoadOrderIndex;
USHORT InitOrderIndex;
USHORT LoadCount;
USHORT PathLength;
CHAR ImageName[256];
} SYSTEM_MODULE_INFORMATION_ENTRY, *PSYSTEM_MODULE_INFORMATION_ENTRY;