輔助材料……原文地址：http://hi.baidu.com/ring3world/blog/item/3f0fb1dbf1fa0a65d0164eab.html

Native API乃Windows用戶模式中為上層Win32 API提供接口的本機系統服務。平常我們總是調用MS為我們提供的公用的Win32 API函數來實現來實現我們系統的功能。今天我們要談的是如何通過本機系統服務(Native API）來探測本機系統信息。當然，微軟沒有為我們提供關于本機系統服務的文檔 (Undocumented)，也就是不會為對它的使用提供任何的保證，所以我們不提倡使用Native API來開發軟件。不過在特殊情況下，本機系統服務卻為我們提供了通向“秘密”的捷徑。本文提到的信息僅在Windows2000/XP/2003上測試 過。

今天，我們主要討論的是一個函數NtQuerySystemInformation(ZwQuerySystemInformation)。當然，你不要小看這么一個函數，它卻為我們提供了豐富的系統信息，同時還包括對某些信息的控制和設置。以下是這個函數的原型：

typedef NTSTATUS (__stdcall *NTQUERYSYSTEMINFORMATION)
(IN　　 SYSTEM_INFORMATION_CLASS SystemInformationClass,
IN OUT PVOID　　　　　　　　　　SystemInformation,
IN　　 ULONG　　　　　　　　　　SystemInformationLength,
OUT　　 PULONG　　　　　　　　 ReturnLength OPTIONAL)；
NTQUERYSYSTEMINFORMATION NtQuerySystemInformation；



從中可以看到，SystemInformationClass是一個類型信息，它大概提供了50余種信息，也就是我們可以通過這個函數對大約50多種 的系統信息進行探測或設置。SystemInformation是一個LPVOID型的指針，它為我們提供需要獲得的信息，或是我們需要設置的系統信息。 SystemInformationLength是SystemInformation的長度，它根據探測的信息類型來決定。至于 ReturnLength則是系統返回的需要的長度，通常可以設置為空指針(NULL)。

首先，我們來看看大家比較熟悉的系統進程/線程相關的信息。這個題目在網上已經討論了N多年了，所以我就不在老生常談了，呵呵。那么就提出這個結構類型的定義：

typedef struct _SYSTEM_PROCESSES
{
ULONG　　　　 NextEntryDelta；　　　　 //構成結構序列的偏移量；
ULONG　　　　 ThreadCount；　　　　　　 //線程數目；
ULONG　　　　 Reserved1[6]；　　　　
LARGE_INTEGER CreateTime；　　　　　　 //創建時間；
LARGE_INTEGER UserTime；　　　　　　　　//用戶模式(Ring 3)的CPU時間；
LARGE_INTEGER KernelTime；　　　　　　 //內核模式(Ring 0)的CPU時間；
UNICODE_STRING ProcessName；　　　　　　 //進程名稱；
KPRIORITY　　 BasePriority；　　　　　　//進程優先權；
ULONG　　　　 ProcessId；　　　　　　 //進程標識符；
ULONG　　　　 InheritedFromProcessId； //父進程的標識符；
ULONG　　　　 HandleCount；　　　　　　 //句柄數目；
ULONG　　　　 Reserved2[2]；
VM_COUNTERS　　VmCounters；　　　　　　 //虛擬存儲器的結構，見下；
IO_COUNTERS　　IoCounters；　　　　　　 //IO計數結構，見下；
SYSTEM_THREADS Threads[1]；　　　　　　 //進程相關線程的結構數組，見下；
}SYSTEM_PROCESSES,*PSYSTEM_PROCESSES；

typedef struct _SYSTEM_THREADS
{
LARGE_INTEGER KernelTime；　　　　　　 //CPU內核模式使用時間；
LARGE_INTEGER UserTime；　　　　　　　　 //CPU用戶模式使用時間；
LARGE_INTEGER CreateTime；　　　　　　 //線程創建時間；
ULONG　　　　 WaitTime；　　　　　　　　 //等待時間；
PVOID　　　　 StartAddress；　　　　　　 //線程開始的虛擬地址；
CLIENT_ID　　 ClientId；　　　　　　　　 //線程標識符；
KPRIORITY　　 Priority；　　　　　　　　 //線程優先級；
KPRIORITY　　 BasePriority；　　　　　　 //基本優先級；
ULONG　　　　 ContextSwitchCount；　　 //環境切換數目；
THREAD_STATE State；　　　　　　　　　　//當前狀態；
KWAIT_REASON WaitReason；　　　　　　 //等待原因；
}SYSTEM_THREADS,*PSYSTEM_THREADS；

typedef struct _VM_COUNTERS
{
ULONG PeakVirtualSize；　　　　　　　　 //虛擬存儲峰值大??；
ULONG VirtualSize；　　　　　　　　　　 //虛擬存儲大?。?br>ULONG PageFaultCount；　　　　　　　　 //頁故障數目；
ULONG PeakWorkingSetSize；　　　　　　 //工作集峰值大??；
ULONG WorkingSetSize；　　　　　　　　 //工作集大小；
ULONG QuotaPeakPagedPoolUsage；　　　　 //分頁池使用配額峰值；
ULONG QuotaPagedPoolUsage；　　　　　　 //分頁池使用配額；
ULONG QuotaPeakNonPagedPoolUsage；　　 //非分頁池使用配額峰值；
ULONG QuotaNonPagedPoolUsage；　　　　 //非分頁池使用配額；
ULONG PagefileUsage；　　　　　　　　　　//頁文件使用情況；
ULONG PeakPagefileUsage；　　　　　　　　//頁文件使用峰值；
}VM_COUNTERS,*PVM_COUNTERS；

typedef struct _IO_COUNTERS
{
LARGE_INTEGER ReadOperationCount；　　 //I/O讀操作數目；
LARGE_INTEGER WriteOperationCount；　　 //I/O寫操作數目；
LARGE_INTEGER OtherOperationCount；　　 //I/O其他操作數目；
LARGE_INTEGER ReadTransferCount；　　　　//I/O讀數據數目；
LARGE_INTEGER WriteTransferCount；　　 //I/O寫數據數目；
LARGE_INTEGER OtherTransferCount；　　 //I/O其他操作數據數目；
}IO_COUNTERS,*PIO_COUNTERS；

以上這些信息應該是比較全面的了，在Win32 API里為我們提供了PSAPI(進程狀態)和ToolHelp32這兩種探測系統進程/線程信息的方式，在Windows2K/XP/2003都支持它們。

現在，我們來看看系統的性能信息，性能結構SYSTEM_PERFORMANCE_INFORMATION為我們提供了70余種系統性能方面的信息，真是太豐富了，請慢慢體會~

typedef struct _SYSTEM_PERFORMANCE_INFORMATION
{
LARGE_INTEGER IdleTime；　　　　　　　　　　//CPU空閑時間；
LARGE_INTEGER ReadTransferCount；　　　　 //I/O讀操作數目；
LARGE_INTEGER WriteTransferCount；　　　　 //I/O寫操作數目；
LARGE_INTEGER OtherTransferCount；　　　　 //I/O其他操作數目；
ULONG　　　　 ReadOperationCount；　　　　 //I/O讀數據數目；
ULONG　　　　 WriteOperationCount；　　　　 //I/O寫數據數目；
ULONG　　　　 OtherOperationCount；　　　　 //I/O其他操作數據數目；
ULONG　　　　 AvailablePages；　　　　　　 //可獲得的頁數目；
ULONG　　　　 TotalCommittedPages；　　　　 //總共提交頁數目；
ULONG　　　　 TotalCommitLimit；　　　　　　//已提交頁數目；
ULONG　　　　 PeakCommitment；　　　　　　 //頁提交峰值；
ULONG　　　　 PageFaults；　　　　　　　　 //頁故障數目；
ULONG　　　　 WriteCopyFaults；　　　　　　 //Copy-On-Write故障數目；
ULONG　　　　 TransitionFaults；　　　　　　//軟頁故障數目；
ULONG　　　　 Reserved1；
ULONG　　　　 DemandZeroFaults；　　　　　　//需求0故障數；
ULONG　　　　 PagesRead；　　　　　　　　 //讀頁數目；
ULONG　　　　 PageReadIos；　　　　　　　　 //讀頁I/O操作數；
ULONG　　　　 Reserved2[2]；
ULONG　　　　 PagefilePagesWritten；　　　　//已寫頁文件頁數；
ULONG　　　　 PagefilePageWriteIos；　　　　//已寫頁文件操作數；
ULONG　　　　 MappedFilePagesWritten；　　 //已寫映射文件頁數；
ULONG　　　　 MappedFileWriteIos；　　　　 //已寫映射文件操作數；
ULONG　　　　 PagedPoolUsage；　　　　　　 //分頁池使用；
ULONG　　　　 NonPagedPoolUsage；　　　　 //非分頁池使用；
ULONG　　　　 PagedPoolAllocs；　　　　　　 //分頁池分配情況；
ULONG　　　　 PagedPoolFrees；　　　　　　 //分頁池釋放情況；
ULONG　　　　 NonPagedPoolAllocs；　　　　 //非分頁池分配情況；
ULONG　　　　 NonPagedPoolFress；　　　　 //非分頁池釋放情況；
ULONG　　　　 TotalFreeSystemPtes；　　　　 //系統頁表項釋放總數；
ULONG　　　　 SystemCodePage；　　　　　　 //操作系統代碼頁數；
ULONG　　　　 TotalSystemDriverPages；　　 //可分頁驅動程序頁數；
ULONG　　　　 TotalSystemCodePages；　　　　//操作系統代碼頁總數；
ULONG　　　　 SmallNonPagedLookasideListAllocateHits； //小非分頁側視列表分配次數；
ULONG　　　　 SmallPagedLookasideListAllocateHits；　　//小分頁側視列表分配次數；
ULONG　　　　 Reserved3；　　　　　　　　
ULONG　　　　 MmSystemCachePage；　　　　 //系統緩存頁數；
ULONG　　　　 PagedPoolPage；　　　　　　 //分頁池頁數；
ULONG　　　　 SystemDriverPage；　　　　 //可分頁驅動頁數；
ULONG　　　　 FastReadNoWait；　　　　　　 //異步快速讀數目；
ULONG　　　　 FastReadWait；　　　　　　 //同步快速讀數目；
ULONG　　　　 FastReadResourceMiss；　　 //快速讀資源沖突數；
ULONG　　　　 FastReadNotPossible；　　　　//快速讀失敗數；
ULONG　　　　 FastMdlReadNoWait；　　　　 //異步MDL快速讀數目；
ULONG　　　　 FastMdlReadWait；　　　　　　//同步MDL快速讀數目；
ULONG　　　　 FastMdlReadResourceMiss；　　//MDL讀資源沖突數；
ULONG　　　　 FastMdlReadNotPossible；　　 //MDL讀失敗數；
ULONG　　　　 MapDataNoWait；　　　　　　 //異步映射數據次數；
ULONG　　　　 MapDataWait；　　　　　　　　//同步映射數據次數；
ULONG　　　　 MapDataNoWaitMiss；　　　　 //異步映射數據沖突次數；
ULONG　　　　 MapDataWaitMiss；　　　　　　//同步映射數據沖突次數；
ULONG　　　　 PinMappedDataCount；　　　　 //牽制映射數據數目；
ULONG　　　　 PinReadNoWait；　　　　　　 //牽制異步讀數目；
ULONG　　　　 PinReadWait；　　　　　　　　//牽制同步讀數目；
ULONG　　　　 PinReadNoWaitMiss；　　　　 //牽制異步讀沖突數目；
ULONG　　　　 PinReadWaitMiss；　　　　　　//牽制同步讀沖突數目；
ULONG　　　　 CopyReadNoWait；　　　　　　 //異步拷貝讀次數；
ULONG　　　　 CopyReadWait；　　　　　　 //同步拷貝讀次數；
ULONG　　　　 CopyReadNoWaitMiss；　　　　 //異步拷貝讀故障次數；
ULONG　　　　 CopyReadWaitMiss；　　　　 //同步拷貝讀故障次數；
ULONG　　　　 MdlReadNoWait；　　　　　　 //異步MDL讀次數；
ULONG　　　　 MdlReadWait；　　　　　　　　//同步MDL讀次數；
ULONG　　　　 MdlReadNoWaitMiss；　　　　 //異步MDL讀故障次數；
ULONG　　　　 MdlReadWaitMiss；　　　　　　//同步MDL讀故障次數；
ULONG　　　　 ReadAheadIos；　　　　　　 //向前讀操作數目；
ULONG　　　　 LazyWriteIos；　　　　　　 //LAZY寫操作數目；
ULONG　　　　 LazyWritePages；　　　　　　 //LAZY寫頁文件數目；
ULONG　　　　 DataFlushes；　　　　　　　　//緩存刷新次數；
ULONG　　　　 DataPages；　　　　　　　　 //緩存刷新頁數；
ULONG　　　　 ContextSwitches；　　　　　　//環境切換數目；
ULONG　　　　 FirstLevelTbFills；　　　　 //第一層緩沖區填充次數；
ULONG　　　　 SecondLevelTbFills；　　　　 //第二層緩沖區填充次數；
ULONG　　　　 SystemCall；　　　　　　　　 //系統調用次數；
}SYSTEM_PERFORMANCE_INFORMATION,*PSYSTEM_PERFORMANCE_INFORMATION；

現在看到的是結構SYSTEM_PROCESSOR_TIMES提供的系統處理器的使用情況，包括各種情況下的使用時間及中斷數目：

typedef struct __SYSTEM_PROCESSOR_TIMES
{
LARGE_INTEGER IdleTime；　　　　　　 //空閑時間；
LARGE_INTEGER KernelTime；　　　　　　 //內核模式時間；
LARGE_INTEGER UserTime；　　　　　　 //用戶模式時間；
LARGE_INTEGER DpcTime；　　　　　　　　//延遲過程調用時間；
LARGE_INTEGER InterruptTime；　　　　 //中斷時間；
ULONG　　　　 InterruptCount；　　　　 //中斷次數；
}SYSTEM_PROCESSOR_TIMES,*PSYSTEM_PROCESSOR_TIMES；

頁文件的使用情況，SYSTEM_PAGEFILE_INFORMATION提供了所需的相關信息：

typedef struct _SYSTEM_PAGEFILE_INFORMATION
{
ULONG NetxEntryOffset；　　　　　　　　//下一個結構的偏移量；
ULONG CurrentSize；　　　　　　　　　　//當前頁文件大??；
ULONG TotalUsed；　　　　　　　　　　 //當前使用的頁文件數；
ULONG PeakUsed；　　　　　　　　　　 //當前使用的頁文件峰值數；
UNICODE_STRING FileName；　　　　　　 //頁文件的文件名稱；
}SYSTEM_PAGEFILE_INFORMATION,*PSYSTEM_PAGEFILE_INFORMATION；

系統高速緩存的使用情況參見結構SYSTEM_CACHE_INFORMATION提供的信息：

typedef struct _SYSTEM_CACHE_INFORMATION
{
ULONG SystemCacheWsSize；　　　　　　 //高速緩存大??；
ULONG SystemCacheWsPeakSize；　　　　 //高速緩存峰值大?。?br>ULONG SystemCacheWsFaults；　　　　　　//高速緩存頁故障數目；
ULONG SystemCacheWsMinimum；　　　　 //高速緩存最小頁大小；
ULONG SystemCacheWsMaximum；　　　　 //高速緩存最大頁大??；
ULONG TransitionSharedPages；　　　　 //共享頁數目；
ULONG TransitionSharedPagesPeak；　　 //共享頁峰值數目；
ULONG Reserved[2]；
}SYSTEM_CACHE_INFORMATION,*PSYSTEM_CACHE_INFORMATION；