### ZwQuerySystemInformation 查询的信息类型和参数列表 `ZwQuerySystemInformation` 是一个系统调用函数，用于查询系统的各种信息。它支持多种信息类别，通过 `SystemInformationClass` 参数指定具体的查询类型。以下是该函数的详细说明： #### 函数定义 ```cpp NTSTATUS WINAPI ZwQuerySystemInformation( _In_ SYSTEM_INFORMATION_CLASS SystemInformationClass, _Inout_ PVOID SystemInformation, _In_ ULONG SystemInformationLength, _Out_opt_ PULONG ReturnLength ); ``` #### 参数说明 1. **SystemInformationClass [in]** 指定要查询的系统信息类型。这是一个枚举值，定义在 `ntddk.h` 或类似头文件中。不同的值对应不同的系统信息[^1]。 2. **SystemInformation [in, out]** 一个指向缓冲区的指针，用于存储返回的系统信息。根据 `SystemInformationClass` 的不同，缓冲区的内容结构也会有所不同。 3. **SystemInformationLength [in]** 指定 `SystemInformation` 缓冲区的大小（以字节为单位）。如果缓冲区太小无法容纳所有数据，则函数会返回 `STATUS_INFO_LENGTH_MISMATCH`。 4. **ReturnLength [out, optional]** 如果提供了此参数，函数会在其中写入所需缓冲区的大小（以字节为单位）。如果缓冲区不足，可以使用此值重新分配更大的缓冲区。 --- #### 支持的信息类型 以下是一些常见的 `SystemInformationClass` 值及其对应的系统信息类型[^1]: | 枚举值 | 描述 | |---------------------------------|----------------------------------------------------------------------| | `SystemBasicInformation` | 系统的基本信息，例如最大进程数、页面大小等[^1]。 | | `SystemProcessorInformation` | 处理器的相关信息，如处理器架构、时钟速度等。 | | `SystemPerformanceInformation` | 系统性能统计信息，如上下文切换次数、中断次数等[^1]。 | | `SystemTimeOfDayInformation` | 当前系统时间及相关的时间信息。 | | `SystemProcessInformation` | 进程和线程的详细信息，包括句柄计数、内存使用情况等[^5]。 | | `SystemInterruptInformation` | 中断控制器和中断处理程序的相关信息。 | | `SystemModuleInformation` | 加载到系统中的模块列表及其相关信息。 | | `SystemHandleInformation` | 系统中所有打开的句柄信息。 | | `SystemRegistryQuotaInformation` | 注册表配额信息，如注册表项的最大数量等。 | | `SystemExceptionInformation` | 异常处理相关的统计信息[^1]。 | --- #### 示例代码 以下是一个简单的示例，展示如何使用 `ZwQuerySystemInformation` 获取进程信息： ```cpp #include <windows.h> #include <winternl.h> #include <iostream> #pragma comment(lib, "ntdll.lib") typedef NTSTATUS(NTAPI* pfnZwQuerySystemInformation)( SYSTEM_INFORMATION_CLASS SystemInformationClass, PVOID SystemInformation, ULONG SystemInformationLength, PULONG ReturnLength); int main() { pfnZwQuerySystemInformation ZwQuerySystemInformation; ZwQuerySystemInformation = (pfnZwQuerySystemInformation)GetProcAddress(GetModuleHandleA("ntdll"), "ZwQuerySystemInformation"); if (!ZwQuerySystemInformation) { std::cerr << "Failed to load ZwQuerySystemInformation" << std::endl; return -1; } PSYSTEM_PROCESS_INFORMATION pBuffer = nullptr; ULONG bufferSize = 0x10000; // 初始缓冲区大小 pBuffer = (PSYSTEM_PROCESS_INFORMATION)malloc(bufferSize); NTSTATUS status = ZwQuerySystemInformation(SystemProcessInformation, pBuffer, bufferSize, nullptr); if (status == STATUS_INFO_LENGTH_MISMATCH) { free(pBuffer); pBuffer = (PSYSTEM_PROCESS_INFORMATION)malloc(bufferSize); status = ZwQuerySystemInformation(SystemProcessInformation, pBuffer, bufferSize, nullptr); } if (NT_SUCCESS(status)) { PSYSTEM_PROCESS_INFORMATION pProc = pBuffer; while (pProc) { std::wcout << L"Process Name: " << pProc->ImageName.Buffer << std::endl; pProc = (pProc->NextEntryDelta == 0) ? nullptr : (PSYSTEM_PROCESS_INFORMATION)((char*)pProc + pProc->NextEntryDelta); } } else { std::cerr << "Failed to query system information" << std::endl; } free(pBuffer); return 0; } ``` ---