探测Windows2K/XP/2003本机系统信息

Native API乃Windows用户模式中为上层Win32 API提供接口的本机系统服务。平常我们总是调用MS为我们提供的公用的Win32 API函数来实现来实现我们系统的功能。（PS：前不久，偶写了一个Windows任务管理器，支持对桌面，进程/线程，系统性能，磁盘，环境变量，事件日志，网络，设备驱动，Win32服务，共享，用户，系统及关机等信息的探测和控制，完全基于Win32 API，大家可以到我们的主页下载）。今天我们要谈的是如何通过本机系统服务(Native API）来探测本机系统信息。当然，微软没有为我们提供关于本机系统服务的文档(Undocumented)，也就是不会为对它的使用提供任何的保证，所以我们不提倡使用Native API来开发软件。不过在特殊情况下，本机系统服务却为我们提供了通向“秘密”的捷径。本文提到的信息仅在Windows2000/XP/2003上测试过。

今天，我们主要讨论的是一个函数NtQuerySystemInformation(ZwQuerySystemInformation)。当然，你不要小看这么一个函数，它却为我们提供了丰富的系统信息，同时还包括对某些信息的控制和设置。以下是这个函数的原型：

typedef NTSTATUS (__stdcall *NTQUERYSYSTEMINFORMATION)
(IN　　　SYSTEM_INFORMATION_CLASS SystemInformationClass,
IN OUT　PVOID　　　　　　　　　　SystemInformation,
IN　　　ULONG　　　　　　　　　　SystemInformationLength,
OUT　　 PULONG　　　　　　　　　 ReturnLength　OPTIONAL);
NTQUERYSYSTEMINFORMATION NtQuerySystemInformation;从中可以看到，SystemInformationClass是一个类型信息，它大概提供了50余种信息，也就是我们可以通过这个函数对大约50多种的系统信息进行探测或设置。SystemInformation是一个LPVOID型的指针，它为我们提供需要获得的信息，或是我们需要设置的系统信息。SystemInformationLength是SystemInformation的长度，它根据探测的信息类型来决定。至于ReturnLength则是系统返回的需要的长度，通常可以设置为空指针(NULL)。

首先，我们来看看大家比较熟悉的系统进程/线程相关的信息。这个题目在网上已经讨论了N多年了，所以我就不在老生常谈了，呵呵。那么就提出这个结构类型的定义：typedef struct _SYSTEM_PROCESSES
{
　　ULONG　　　　　NextEntryDelta;　　　　　//构成结构序列的偏移量；
　　ULONG　　　　　ThreadCount;　　　　　　 //线程数目；
　　ULONG　　　　　Reserved1[6];
　　LARGE_INTEGER　CreateTime;　　　　　　　//创建时间；
　　LARGE_INTEGER　UserTime;　　　　　　　　//用户模式(Ring 3)的CPU时间；
　　LARGE_INTEGER　KernelTime;　　　　　　　//内核模式(Ring 0)的CPU时间；
　　UNICODE_STRING ProcessName;　　　　　　 //进程名称；
　　KPRIORITY　　　BasePriority;　　　　　　//进程优先权；
　　ULONG　　　　　ProcessId;　　　　　　　 //进程标识符；
　　ULONG　　　　　InheritedFromProcessId;　//父进程的标识符；
　　ULONG　　　　　HandleCount;　　　　　　 //句柄数目；
　　ULONG　　　　　Reserved2[2];
　　VM_COUNTERS　　VmCounters;　　　　　　　//虚拟存储器的结构，见下；
　　IO_COUNTERS　　IoCounters;　　　　　　　//IO计数结构，见下；
　　SYSTEM_THREADS Threads[1];　　　　　　　//进程相关线程的结构数组，见下；
}SYSTEM_PROCESSES,*PSYSTEM_PROCESSES;
typedef struct _SYSTEM_THREADS
{
　　LARGE_INTEGER KernelTime;　　　　　　　 //CPU内核模式使用时间；
　　LARGE_INTEGER UserTime;　　　　　　　　 //CPU用户模式使用时间；
　　LARGE_INTEGER CreateTime;　　　　　　　 //线程创建时间；
　　ULONG　　　　 WaitTime;　　　　　　　　 //等待时间；
　　PVOID　　　　 StartAddress;　　　　　　 //线程开始的虚拟地址；
　　CLIENT_ID　　 ClientId;　　　　　　　　 //线程标识符；
　　KPRIORITY　　 Priority;　　　　　　　　 //线程优先级；
　　KPRIORITY　　 BasePriority;　　　　　　 //基本优先级；
　　ULONG　　　　 ContextSwitchCount;　　　 //环境切换数目；
　　THREAD_STATE　State;　　　　　　　　　　//当前状态；
　　KWAIT_REASON　WaitReason;　　　　　　　 //等待原因；
}SYSTEM_THREADS,*PSYSTEM_THREADS;
typedef struct _VM_COUNTERS
{
　　ULONG PeakVirtualSize;　　　　　　　　　//虚拟存储峰值大小；
　　ULONG VirtualSize;　　　　　　　　　　　//虚拟存储大小；
　　ULONG PageFaultCount;　　　　　　　　　 //页故障数目；
　　ULONG PeakWorkingSetSize;　　　　　　　 //工作集峰值大小；
　　ULONG WorkingSetSize;　　　　　　　　　 //工作集大小；
　　ULONG QuotaPeakPagedPoolUsage;　　　　　//分页池使用配额峰值；
　　ULONG QuotaPagedPoolUsage;　　　　　　　//分页池使用配额；
　　ULONG QuotaPeakNonPagedPoolUsage;　　　 //非分页池使用配额峰值；
　　ULONG QuotaNonPagedPoolUsage;　　　　　 //非分页池使用配额；
　　ULONG PagefileUsage;　　　　　　　　　　//页文件使用情况；
　　ULONG PeakPagefileUsage;　　　　　　　　//页文件使用峰值；
}VM_COUNTERS,*PVM_COUNTERS;
typedef struct _IO_COUNTERS
{
　　LARGE_INTEGER ReadOperationCount;　　　 //I/O读操作数目；
　　LARGE_INTEGER WriteOperationCount;　　　//I/O写操作数目；
　　LARGE_INTEGER OtherOperationCount;　　　//I/O其他操作数目；
　　LARGE_INTEGER ReadTransferCount;　　　　//I/O读数据数目；
　　LARGE_INTEGER WriteTransferCount;　　　 //I/O写数据数目；
　　LARGE_INTEGER OtherTransferCount;　　　 //I/O其他操作数据数目；
}IO_COUNTERS,*PIO_COUNTERS;以上这些信息应该是比较全面的了，在Win32 API里为我们提供了PSAPI(进程状态)和ToolHelp32这两种探测系统进程/线程信息的方式，在Windows2K/XP/2003都支持它们。

现在，我们来看看系统的性能信息，性能结构SYSTEM_PERFORMANCE_INFORMATION为我们提供了70余种系统性能方面的信息，真是太丰富了，请慢慢体会~

关于作者：

FZ5FZ，我们主要从事网络/系统安全的学习与研究，深入编程技术的剖析与探讨，坚持原创，追求共享。

本文配套源码