輔助材料……原文地址：http://hi.baidu.com/ring3world/blog/item/3f0fb1dbf1fa0a65d0164eab.html
Native API乃Windows用戶模式中為上層Win32 API提供接口的本機系統服務。平常我們總是調用MS為我們提供的公用的Win32 API函數來實現來實現我們系統的功能。今天我們要談的是如何通過本機系統服務(Native API）來探測本機系統信息。當然，微軟沒有為我們提供關于本機系統服務的文檔 (Undocumented)，也就是不會為對它的使用提供任何的保證，所以我們不提倡使用Native API來開發軟件。不過在特殊情況下，本機系統服務卻為我們提供了通向“秘密”的捷徑。本文提到的信息僅在Windows2000/XP/2003上測試 過。
今天，我們主要討論的是一個函數NtQuerySystemInformation(ZwQuerySystemInformation)。當然，你不要小看這么一個函數，它卻為我們提供了豐富的系統信息，同時還包括對某些信息的控制和設置。以下是這個函數的原型：
typedef NTSTATUS (__stdcall *NTQUERYSYSTEMINFORMATION)
(IN SYSTEM_INFORMATION_CLASS SystemInformationClass,
IN OUT PVOID SystemInformation,
IN ULONG SystemInformationLength,
OUT PULONG ReturnLength OPTIONAL)；
NTQUERYSYSTEMINFORMATION NtQuerySystemInformation；
NtQuerySystemInformation這個函數有四個參數：
第一個參數是dwRecordType，這個參數指定了我們所查詢的系統信息類型，為了查詢系統HANDLE列表，我們定義一個常量#define NT_HANDLE_LIST 16（這個數值我是查資料得到的，如果誰有更詳細的資料，也請讓我共享一下）。
第二個參數是一個指針，這個指針用來返回系統句柄列表，在調用NtQuerySystemInformation函數之前，必須為這個指針分配足夠的內存空間，否則函數調用會出錯。
第三個參數是指定你為HandleList所分配的內存空間大小，單位是byte。
第四個參數是NtQuerySystemInformation返回的HandleList的大小；如果NtQuerySystemInformation函數調用成功，返回值將是0，否則可以使用GetLastError()獲得詳細的錯誤代碼。
從中可以看到，SystemInformationClass是一個類型信息，它大概提供了50余種信息，也就是我們可以通過這個函數對大約50多種 的系統信息進行探測或設置。SystemInformation是一個LPVOID型的指針，它為我們提供需要獲得的信息，或是我們需要設置的系統信息。 SystemInformationLength是SystemInformation的長度，它根據探測的信息類型來決定。至于 ReturnLength則是系統返回的需要的長度，通常可以設置為空指針(NULL)。
首先，我們來看看大家比較熟悉的系統進程/線程相關的信息。這個題目在網上已經討論了N多年了，所以我就不在老生常談了，呵呵。那么就提出這個結構類型的定義：
typedef struct _SYSTEM_PROCESSES
{
ULONG NextEntryDelta； //構成結構序列的偏移量；
ULONG ThreadCount； //線程數目；
ULONG Reserved1[6]；
LARGE_INTEGER CreateTime； //創建時間；
LARGE_INTEGER UserTime； //用戶模式(Ring 3)的CPU時間；
LARGE_INTEGER KernelTime； //內核模式(Ring 0)的CPU時間；
UNICODE_STRING ProcessName； //進程名稱；
KPRIORITY BasePriority； //進程優先權；
ULONG ProcessId； //進程標識符；
ULONG InheritedFromProcessId； //父進程的標識符；
ULONG HandleCount； //句柄數目；
ULONG Reserved2[2]；
VM_COUNTERS VmCounters； //虛擬存儲器的結構，見下；
IO_COUNTERS IoCounters； //IO計數結構，見下；
SYSTEM_THREADS Threads[1]； //進程相關線程的結構數組，見下；
}SYSTEM_PROCESSES,*PSYSTEM_PROCESSES；
typedef struct _SYSTEM_THREADS
{
LARGE_INTEGER KernelTime； //CPU內核模式使用時間；
LARGE_INTEGER UserTime； //CPU用戶模式使用時間；
LARGE_INTEGER CreateTime； //線程創建時間；
ULONG WaitTime； //等待時間；
PVOID StartAddress； //線程開始的虛擬地址；
CLIENT_ID ClientId； //線程標識符；
KPRIORITY Priority； //線程優先級；
KPRIORITY BasePriority； //基本優先級；
ULONG ContextSwitchCount； //環境切換數目；
THREAD_STATE State； //當前狀態；
KWAIT_REASON WaitReason； //等待原因；
}SYSTEM_THREADS,*PSYSTEM_THREADS；
typedef struct _VM_COUNTERS
{
ULONG PeakVirtualSize； //虛擬存儲峰值大小；
ULONG VirtualSize； //虛擬存儲大小；
ULONG PageFaultCount； //頁故障數目；
ULONG PeakWorkingSetSize； //工作集峰值大小；
ULONG WorkingSetSize； //工作集大小；
ULONG QuotaPeakPagedPoolUsage； //分頁池使用配額峰值；
ULONG QuotaPagedPoolUsage； //分頁池使用配額；
ULONG QuotaPeakNonPagedPoolUsage； //非分頁池使用配額峰值；
ULONG QuotaNonPagedPoolUsage； //非分頁池使用配額；
ULONG PagefileUsage； //頁文件使用情況；
ULONG PeakPagefileUsage； //頁文件使用峰值；
}VM_COUNTERS,*PVM_COUNTERS；
typedef struct _IO_COUNTERS
{
LARGE_INTEGER ReadOperationCount； //I/O讀操作數目；
LARGE_INTEGER WriteOperationCount； //I/O寫操作數目；
LARGE_INTEGER OtherOperationCount； //I/O其他操作數目；
LARGE_INTEGER ReadTransferCount； //I/O讀數據數目；
LARGE_INTEGER WriteTransferCount； //I/O寫數據數目；
LARGE_INTEGER OtherTransferCount； //I/O其他操作數據數目；
}IO_COUNTERS,*PIO_COUNTERS；
以上這些信息應該是比較全面的了，在Win32 API里為我們提供了PSAPI(進程狀態)和ToolHelp32這兩種探測系統進程/線程信息的方式，在Windows2K/XP/2003都支持它們。
現在，我們來看看系統的性能信息，性能結構SYSTEM_PERFORMANCE_INFORMATION為我們提供了70余種系統性能方面的信息，真是太豐富了，請慢慢體會~
typedef struct _SYSTEM_PERFORMANCE_INFORMATION
{
LARGE_INTEGER IdleTime； //CPU空閑時間；
LARGE_INTEGER ReadTransferCount； //I/O讀操作數目；
LARGE_INTEGER WriteTransferCount； //I/O寫操作數目；
LARGE_INTEGER OtherTransferCount； //I/O其他操作數目；
ULONG ReadOperationCount； //I/O讀數據數目；
ULONG WriteOperationCount； //I/O寫數據數目；
ULONG OtherOperationCount； //I/O其他操作數據數目；
ULONG AvailablePages； //可獲得的頁數目；
ULONG TotalCommittedPages； //總共提交頁數目；
ULONG TotalCommitLimit； //已提交頁數目；
ULONG PeakCommitment； //頁提交峰值；
ULONG PageFaults； //頁故障數目；
ULONG WriteCopyFaults； //Copy-On-Write故障數目；
ULONG TransitionFaults； //軟頁故障數目；
ULONG Reserved1；
ULONG DemandZeroFaults； //需求0故障數；
ULONG PagesRead； //讀頁數目；
ULONG PageReadIos； //讀頁I/O操作數；
ULONG Reserved2[2]；
ULONG PagefilePagesWritten； //已寫頁文件頁數；
ULONG PagefilePageWriteIos； //已寫頁文件操作數；
ULONG MappedFilePagesWritten； //已寫映射文件頁數；
ULONG MappedFileWriteIos； //已寫映射文件操作數；
ULONG PagedPoolUsage； //分頁池使用；
ULONG NonPagedPoolUsage； //非分頁池使用；
ULONG PagedPoolAllocs； //分頁池分配情況；
ULONG PagedPoolFrees； //分頁池釋放情況；
ULONG NonPagedPoolAllocs； //非分頁池分配情況；
ULONG NonPagedPoolFress； //非分頁池釋放情況；
ULONG TotalFreeSystemPtes； //系統頁表項釋放總數；
ULONG SystemCodePage； //操作系統代碼頁數；
ULONG TotalSystemDriverPages； //可分頁驅動程序頁數；
ULONG TotalSystemCodePages； //操作系統代碼頁總數；
ULONG SmallNonPagedLookasideListAllocateHits； //小非分頁側視列表分配次數；
ULONG SmallPagedLookasideListAllocateHits； //小分頁側視列表分配次數；
ULONG Reserved3；
ULONG MmSystemCachePage； //系統緩存頁數；
ULONG PagedPoolPage； //分頁池頁數；
ULONG SystemDriverPage； //可分頁驅動頁數；
ULONG FastReadNoWait； //異步快速讀數目；
ULONG FastReadWait； //同步快速讀數目；
ULONG FastReadResourceMiss； //快速讀資源沖突數；
ULONG FastReadNotPossible； //快速讀失敗數；
ULONG FastMdlReadNoWait； //異步MDL快速讀數目；
ULONG FastMdlReadWait； //同步MDL快速讀數目；
ULONG FastMdlReadResourceMiss； //MDL讀資源沖突數；
ULONG FastMdlReadNotPossible； //MDL讀失敗數；
ULONG MapDataNoWait； //異步映射數據次數；
ULONG MapDataWait； //同步映射數據次數；
ULONG MapDataNoWaitMiss； //異步映射數據沖突次數；
ULONG MapDataWaitMiss； //同步映射數據沖突次數；
ULONG PinMappedDataCount； //牽制映射數據數目；
ULONG PinReadNoWait； //牽制異步讀數目；
ULONG PinReadWait； //牽制同步讀數目；
ULONG PinReadNoWaitMiss； //牽制異步讀沖突數目；
ULONG PinReadWaitMiss； //牽制同步讀沖突數目；
ULONG CopyReadNoWait； //異步拷貝讀次數；
ULONG CopyReadWait； //同步拷貝讀次數；
ULONG CopyReadNoWaitMiss； //異步拷貝讀故障次數；
ULONG CopyReadWaitMiss； //同步拷貝讀故障次數；
ULONG MdlReadNoWait； //異步MDL讀次數；
ULONG MdlReadWait； //同步MDL讀次數；
ULONG MdlReadNoWaitMiss； //異步MDL讀故障次數；
ULONG MdlReadWaitMiss； //同步MDL讀故障次數；
ULONG ReadAheadIos； //向前讀操作數目；
ULONG LazyWriteIos； //LAZY寫操作數目；
ULONG LazyWritePages； //LAZY寫頁文件數目；
ULONG DataFlushes； //緩存刷新次數；
ULONG DataPages； //緩存刷新頁數；
ULONG ContextSwitches； //環境切換數目；
ULONG FirstLevelTbFills； //第一層緩沖區填充次數；
ULONG SecondLevelTbFills； //第二層緩沖區填充次數；
ULONG SystemCall； //系統調用次數；
}SYSTEM_PERFORMANCE_INFORMATION,*PSYSTEM_PERFORMANCE_INFORMATION；
現在看到的是結構SYSTEM_PROCESSOR_TIMES提供的系統處理器的使用情況，包括各種情況下的使用時間及中斷數目：
typedef struct __SYSTEM_PROCESSOR_TIMES
{
LARGE_INTEGER IdleTime； //空閑時間；
LARGE_INTEGER KernelTime； //內核模式時間；
LARGE_INTEGER UserTime； //用戶模式時間；
LARGE_INTEGER DpcTime； //延遲過程調用時間；
LARGE_INTEGER InterruptTime； //中斷時間；
ULONG InterruptCount； //中斷次數；
}SYSTEM_PROCESSOR_TIMES,*PSYSTEM_PROCESSOR_TIMES；
頁文件的使用情況，SYSTEM_PAGEFILE_INFORMATION提供了所需的相關信息：
typedef struct _SYSTEM_PAGEFILE_INFORMATION
{
ULONG NetxEntryOffset； //下一個結構的偏移量；
ULONG CurrentSize； //當前頁文件大小；
ULONG TotalUsed； //當前使用的頁文件數；
ULONG PeakUsed； //當前使用的頁文件峰值數；
UNICODE_STRING FileName； //頁文件的文件名稱；
}SYSTEM_PAGEFILE_INFORMATION,*PSYSTEM_PAGEFILE_INFORMATION；
系統高速緩存的使用情況參見結構SYSTEM_CACHE_INFORMATION提供的信息：
typedef struct _SYSTEM_CACHE_INFORMATION
{
ULONG SystemCacheWsSize； //高速緩存大小；
ULONG SystemCacheWsPeakSize； //高速緩存峰值大小；
ULONG SystemCacheWsFaults； //高速緩存頁故障數目；
ULONG SystemCacheWsMinimum； //高速緩存最小頁大小；
ULONG SystemCacheWsMaximum； //高速緩存最大頁大小；
ULONG TransitionSharedPages； //共享頁數目；
ULONG TransitionSharedPagesPeak； //共享頁峰值數目；
ULONG Reserved[2]；
}SYSTEM_CACHE_INFORMATION,*PSYSTEM_CACHE_INFORMATION；