使用 NtQuerySystemInformation 遍历进程信息

在 Windows 操作系统中，了解正在运行的进程的信息对于系统管理和性能优化至关重要。通过遍历系统进程信息，我们可以获取进程的 ID、名称、线程数、句柄数以及各种性能指标，从而帮助我们了解系统的运行状况并进行必要的调整和优化。本文将详细介绍一种通过调用 Windows 系统API来遍历系统进程信息的技术，同时提供一段用 C++ 编写的示例代码。

操作原理

Windows 操作系统提供了一系列API函数，可以用于获取系统状态和信息。其中之一是 NtQuerySystemInformation 函数，该函数可以用来获取各种系统信息，包括进程信息。通过调用 NtQuerySystemInformation 函数，并将系统信息结构体填充到提供的缓冲区中，我们可以获得系统中运行的所有进程的信息。

在示例代码中，首先定义了一系列结构体，用于存储进程和线程的详细信息。然后通过调用 NtQuerySystemInformation 函数来获取系统进程信息，遍历返回的进程信息结构体，逐个获取每个进程的信息，包括进程名、进程ID、句柄数、线程数等，并在控制台输出。

具体实现

示例代码中使用了以下关键技术：

  • 使用 NtQuerySystemInformation 函数获取系统进程信息。
  • 遍历返回的进程信息结构体，获取每个进程的详细信息。
  • 输出获取到的进程信息到控制台。

示例代码解析

以下是示例代码中用到的关键部分：

  • 定义了用于存储进程信息的 _SYSTEM_PROCESS_INFORMATION 结构体和用于存储线程信息的 _SYSTEM_THREAD_INFORMATION 结构体。
  • 使用 NtQuerySystemInformation 函数获取系统进程信息，并遍历返回的进程信息结构体，逐个获取每个进程的信息并输出到控制台。

完整代码

#include <iostream>
#include <Windows.h>

#ifdef _WIN64
typedef ULONG64 KPRIORITY;
#else
typedef LONG KPRIORITY;
#endif
#define SystemProcessInformation    5 // 功能号

#ifdef _M_IX86
typedef struct _CLIENT_ID
{
    DWORD        UniqueProcess;
    DWORD        UniqueThread;
} CLIENT_ID, * PCLIENT_ID;
#endif // x86模式下

#ifdef _M_X64
typedef struct _CLIENT_ID
{
    ULONG64        UniqueProcess;
    ULONG64        UniqueThread;
} CLIENT_ID, * PCLIENT_ID;
#endif // x64模式下

typedef struct _UNICODE_STRING {
    USHORT Length;
    USHORT MaximumLength;
    PWSTR  Buffer;
} UNICODE_STRING, * PUNICODE_STRING;


typedef enum _KWAIT_REASON
{
    Executive = 0,
    FreePage = 1,
    PageIn = 2,
    PoolAllocation = 3,
    DelayExecution = 4,
    Suspended = 5,
    UserRequest = 6,
    WrExecutive = 7,
    WrFreePage = 8,
    WrPageIn = 9,
    WrPoolAllocation = 10,
    WrDelayExecution = 11,
    WrSuspended = 12,
    WrUserRequest = 13,
    WrEventPair = 14,
    WrQueue = 15,
    WrLpcReceive = 16,
    WrLpcReply = 17,
    WrVirtualMemory = 18,
    WrPageOut = 19,
    WrRendezvous = 20,
    Spare2 = 21,
    Spare3 = 22,
    Spare4 = 23,
    Spare5 = 24,
    WrCalloutStack = 25,
    WrKernel = 26,
    WrResource = 27,
    WrPushLock = 28,
    WrMutex = 29,
    WrQuantumEnd = 30,
    WrDispatchInt = 31,
    WrPreempted = 32,
    WrYieldExecution = 33,
    WrFastMutex = 34,
    WrGuardedMutex = 35,
    WrRundown = 36,
    MaximumWaitReason = 37
} KWAIT_REASON;

// 线程结构体
typedef struct _SYSTEM_THREAD_INFORMATION
{
    LARGE_INTEGER KernelTime;
    LARGE_INTEGER UserTime;
    LARGE_INTEGER CreateTime;
    ULONG WaitTime;
    PVOID StartAddress;
    CLIENT_ID ClientId;
    KPRIORITY Priority;
    LONG BasePriority;
    ULONG ContextSwitches;
    ULONG ThreadState;
    KWAIT_REASON WaitReason;
} SYSTEM_THREAD_INFORMATION, * PSYSTEM_THREAD_INFORMATION;


// 进程结构体
typedef struct _SYSTEM_PROCESS_INFORMATION
{
    ULONG NextEntryOffset;
    ULONG NumberOfThreads;
    LARGE_INTEGER WorkingSetPrivateSize; // since VISTA
    ULONG HardFaultCount; // since WIN7
    ULONG NumberOfThreadsHighWatermark; // since WIN7
    ULONGLONG CycleTime; // since WIN7
    LARGE_INTEGER CreateTime;
    LARGE_INTEGER UserTime;
    LARGE_INTEGER KernelTime;
    UNICODE_STRING ImageName;
    KPRIORITY BasePriority;
    HANDLE UniqueProcessId;
    HANDLE InheritedFromUniqueProcessId;
    ULONG HandleCount;
    ULONG SessionId;
    ULONG_PTR UniqueProcessKey; // since VISTA (requires SystemExtendedProcessInformation)
    SIZE_T PeakVirtualSize;
    SIZE_T VirtualSize;
    ULONG PageFaultCount;
    SIZE_T PeakWorkingSetSize;
    SIZE_T WorkingSetSize;
    SIZE_T QuotaPeakPagedPoolUsage;
    SIZE_T QuotaPagedPoolUsage;
    SIZE_T QuotaPeakNonPagedPoolUsage;
    SIZE_T QuotaNonPagedPoolUsage;
    SIZE_T PagefileUsage;
    SIZE_T PeakPagefileUsage;
    SIZE_T PrivatePageCount;
    LARGE_INTEGER ReadOperationCount;
    LARGE_INTEGER WriteOperationCount;
    LARGE_INTEGER OtherOperationCount;
    LARGE_INTEGER ReadTransferCount;
    LARGE_INTEGER WriteTransferCount;
    LARGE_INTEGER OtherTransferCount;
    //SYSTEM_THREAD_INFORMATION Threads[1];
} SYSTEM_PROCESS_INFORMATION, * PSYSTEM_PROCESS_INFORMATION;


// 定义函数声明
typedef NTSTATUS (WINAPI* __QuerySystemInformation) (
    UINT systemInformation,
    PVOID SystemInformation,
    ULONG SystemInformationLength,
    PULONG ReturnLength
);

BOOL QueryProcessInformationCallAll() {
    ULONG cbSize = sizeof(SYSTEM_PROCESS_INFORMATION);
    __QuerySystemInformation NtQuerySystemInformation = NULL;
    HMODULE hNtDll = GetModuleHandleW(L"ntdll.dll");

    if (hNtDll == NULL)
    {
        wprintf(L"LoadLibrary Failed.\n");
        return FALSE;
    }

    NtQuerySystemInformation = (__QuerySystemInformation)GetProcAddress(
        hNtDll, "NtQuerySystemInformation");
    PSYSTEM_PROCESS_INFORMATION sysPSIEntry = NULL, sysForwardLinks = NULL;
    if (NtQuerySystemInformation == NULL) 
    {
        wprintf(L"GetProcAddress Failed.\n");
        return FALSE;
    }

    // 调用 NtQuerySystemInformation 查询进程信息
    NTSTATUS status = 0;
    status = NtQuerySystemInformation(SystemProcessInformation, NULL, 0, &cbSize);
    if (status == 0xC0000004)
    {
        sysPSIEntry = (PSYSTEM_PROCESS_INFORMATION)malloc(cbSize);
        status = NtQuerySystemInformation(SystemProcessInformation, sysPSIEntry, cbSize, &cbSize);
        if (status)
            free(sysPSIEntry);
    }

    // 拷贝结构体指针副本
    sysForwardLinks = sysPSIEntry;

    // 使用指针副本遍历进程信息
    while (sysForwardLinks->NextEntryOffset != 0)
    {
        if (sysForwardLinks->ImageName.Buffer != NULL)
        {
            wprintf(L"进程名:\t%s \t进程ID:%I64u \t句柄总数:%u \t线程总数:%u \n", 
                sysForwardLinks->ImageName.Buffer, (UINT64)sysForwardLinks->UniqueProcessId,
                sysForwardLinks->HandleCount, sysForwardLinks->NumberOfThreads);
            // 打印线程信息
            PSYSTEM_THREAD_INFORMATION threadInfo = NULL;
            threadInfo = (PSYSTEM_THREAD_INFORMATION)((UINT64)sysForwardLinks + sizeof(SYSTEM_PROCESS_INFORMATION));
            DWORD curThreadIndex = 1;
            do {
#ifdef _WIN64
                wprintf(L"\t线程ID:%I64u \t起始地址:0x%I64X \t线程的状态码:%u\n", 
                    threadInfo->ClientId.UniqueThread, 
                    (UINT64)threadInfo->StartAddress, 
                    threadInfo->ThreadState);
#else
                wprintf(L"\t线程ID:%d \t起始地址:0x%I32X \t线程的状态码:%u\n",
                    threadInfo->ClientId.UniqueThread,
                    (UINT)threadInfo->StartAddress,
                    threadInfo->ThreadState);
#endif

                ++threadInfo;
            } while (curThreadIndex++ < sysForwardLinks->NumberOfThreads);
            wprintf(L"\n");
        }
        // 指针的加减运算的单位是根据所指向数据类型大小的。
        // 字节指针就是1，所以加减运算没问题。
        // 这里是结构体指针，所以必须转成数字类型再运算。
        sysForwardLinks = (PSYSTEM_PROCESS_INFORMATION)((UINT64)sysForwardLinks + sysForwardLinks->NextEntryOffset);
    }
    
    // 释放内存
    free(sysPSIEntry);
    sysPSIEntry = NULL;
    sysForwardLinks = NULL;

    return TRUE;
}

int main()
{
    setlocale(LC_ALL, ".utf8");// 转换控制台代码页编码为 UTF-8
    QueryProcessInformationCallAll();
    return 0;
}

测试结果截图：

结果截图 1

总结

通过遍历系统进程信息，我们可以了解系统中运行的各种进程的详细信息，从而更好地进行系统管理和性能优化。本文介绍了一种通过调用 Windows 系统API来获取并遍历系统进程信息的技术，并提供了一段示例代码以帮助读者理解该技术的实现方法。希望本文对于对 Windows 系统进程信息感兴趣的读者有所帮助。

发布于：2024.02.07，更新于：2024.02.07

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：/a/376116.html

如若内容造成侵权/违法违规/事实不符，请联系我们进行投诉反馈qq邮箱809451989@qq.com，一经查实，立即删除！

相关文章

python coding with ChatGPT 打卡第17天| 二叉树：找树左下角的值、路径总和

python coding with ChatGPT 打卡第17天| 二叉树：找树左下角的值、路径总和

相关推荐 python coding with ChatGPT 打卡第12天| 二叉树&#xff1a;理论基础 python coding with ChatGPT 打卡第13天| 二叉树的深度优先遍历 python coding with ChatGPT 打卡第14天| 二叉树的广度优先遍历 python coding with ChatGPT 打卡第15天| 二叉树&#xff1a;翻转…
阅读更多...
Quicker读取浏览器的书签（包括firefox火狐）

Quicker读取浏览器的书签（包括firefox火狐）

从edge换了火狐&#xff0c;但是quicker不能读取本地的bookmarks文件了&#xff0c;就研究了一下。 方法1&#xff1a;读取本地Bookmarks文件&#xff08;仅谷歌内核浏览器&#xff09; 谷歌内核的浏览器本地会有Bookmarks文件&#xff0c;放了所有的书签数据&#xff0c;直接…
阅读更多...
新版MQL语言程序设计：键盘快捷键交易的设计与实现

新版MQL语言程序设计：键盘快捷键交易的设计与实现

文章目录 一、什么是快捷键交易二、使用快捷键交易的好处三、键盘快捷键交易程序设计思路四、键盘快捷键交易程序具体实现1.界面设计2.键盘交易事件机制的代码实现 一、什么是快捷键交易 操盘中按快捷键交易是指在股票或期货交易中&#xff0c;通过使用快捷键来进行交易操作的…
阅读更多...
故障诊断 | 一文解决，TCN时间卷积神经网络模型的故障诊断（Matlab）

故障诊断 | 一文解决，TCN时间卷积神经网络模型的故障诊断（Matlab）

效果一览 文章概述 故障诊断 | 一文解决，TCN时间卷积神经网络模型的故障诊断（Matlab） 模型描述 时间卷积神经网络（TCN）是一种用于序列数据建模和预测的深度学习模型。它通过卷积操作在时间维度上对序列数据进行特征提取，并且可以处理可变长度的输入序列。 要使用TCN进行…
阅读更多...
昆仑万维发布天工 2.0 大语言模型及AI助手App；AI成功破解2000年前碳化古卷轴

昆仑万维发布天工 2.0 大语言模型及AI助手App；AI成功破解2000年前碳化古卷轴

&#x1f989; AI新闻 &#x1f680; 昆仑万维发布天工 2.0 大语言模型及AI助手App 摘要&#xff1a;昆仑万维近日推出了新版MoE大语言模型“天工 2.0”和相应的“天工 AI 智能助手”App&#xff0c;宣称为国内首个面向C端用户免费的基于MoE架构的千亿级参数大模型应用。天工…
阅读更多...
购物车底部工具栏全选、总价、总数量实现

购物车底部工具栏全选、总价、总数量实现

购物车商品加一个checked属性 定义allChecked属性 <!-- 底部工具栏 开始 --> <view class"footer_tool"><!-- 全选 开始 --><view class"all_chk_wrap"><checkbox-group><checkbox checked"{{allChecked}}">…
阅读更多...
视频上传 - 断点续传那点事

视频上传 - 断点续传那点事

在上一篇文章中&#xff0c;我们讲解了分片上传的实现方式。在讲解断点续传之前&#xff0c;我要把上篇文章中留下的问题讲解一下。读过上一篇文章的小伙伴们都知道&#xff0c;对于分片上传来说&#xff0c;它的传输方式分为2种&#xff0c;一种是按顺序传输&#xff0c;一种是…
阅读更多...
如何安装x11vnc并结合cpolar实现win远程桌面Deepin

如何安装x11vnc并结合cpolar实现win远程桌面Deepin

文章目录 1. 安装x11vnc2. 本地远程连接测试3. Deepin安装Cpolar4. 配置公网远程地址5. 公网远程连接Deepin桌面6. 固定连接公网地址7. 固定公网地址连接测试 正文开始前给大家推荐个网站&#xff0c;前些天发现了一个巨牛的 人工智能学习网站&#xff0c; 通俗易懂&#xff…
阅读更多...
机器学习系列——（十六）回归模型的评估

机器学习系列——（十六）回归模型的评估

引言 在机器学习领域&#xff0c;回归模型是一种预测连续数值输出的重要工具。无论是预测房价、股票价格还是天气温度&#xff0c;回归模型都扮演着不可或缺的角色。然而&#xff0c;构建模型只是第一步&#xff0c;评估模型的性能是确保模型准确性和泛化能力的关键环节。本文…
阅读更多...
微信小程序解决华为手机保存图片到相册失败

微信小程序解决华为手机保存图片到相册失败

1.新增隐私设置 2.优化代码 新增uni.authorize判断 _saveCode() {let that this;console.log(点击了保存图片)console.log(this.result)uni.authorize({scope: scope.writePhotosAlbum,success(e) {console.log(e)if (this.result ! "") {uni.saveImageToPhotosAlb…
阅读更多...
github使用问题汇总

github使用问题汇总

1. Permission denied 1.1. 问题描述 Permission denied (publickey). fatal: Could not read from remote repository. 1.2. 解决方法 生成公钥 ssh-keygen -t ed25519 -C "your_emailexample.com" 点击回车三次 Generating public/private ed25519 key pair. …
阅读更多...
使用Nginx搭建旁路服务器获取客户端真实IP

使用Nginx搭建旁路服务器获取客户端真实IP

一、前言 在实际业务开发过程中&#xff0c;很多时候有记录客户端真实IP的需求&#xff0c;但是从客户端发送的请求往往会经过很多代理服务器&#xff0c;导致后端服务获取的IP为代理以后的IP&#xff0c;不具有业务含义。为了解决这个问题&#xff0c;可以搭建一个旁路服务器…
阅读更多...
上海亚商投顾：沪指涨超3% 深成指和创指双双飙涨超6%

上海亚商投顾：沪指涨超3% 深成指和创指双双飙涨超6%

上海亚商投顾前言&#xff1a;无惧大盘涨跌&#xff0c;解密龙虎榜资金&#xff0c;跟踪一线游资和机构资金动向&#xff0c;识别短期热点和强势个股。 一.市场情绪 今日A股三大指数一改近期低迷状态&#xff0c;早盘小幅低开后一路高歌猛进集体大涨&#xff0c;沪指涨超3%&am…
阅读更多...
YUM | 包安装 | 管理

YUM | 包安装 | 管理

YUM 功能 软件包安装&#xff1a; 通过yum命令安装软件包。例如&#xff0c;安装一个名为 example-package 的软件包 yum install example-package更新包 检查更新&#xff1a; 检查可用更新&#xff1a; sudo yum check-update <package_name>软件包更新&#xff1a; y…
阅读更多...
dolphinscheduler海豚调度（一）简介快速体验

dolphinscheduler海豚调度（一）简介快速体验

1、简介 Apache DolphinScheduler 是一个分布式易扩展的可视化DAG工作流任务调度开源系统。适用于企业级场景&#xff0c;提供了一个可视化操作任务、工作流和全生命周期数据处理过程的解决方案。 Apache DolphinScheduler 旨在解决复杂的大数据任务依赖关系&#xff0c;并为应…
阅读更多...
AI助力农作物自动采摘，基于DETR(DEtection TRansformer)开发构建作物生产场景下番茄采摘检测计数分析系统

AI助力农作物自动采摘，基于DETR(DEtection TRansformer)开发构建作物生产场景下番茄采摘检测计数分析系统

去年十一那会无意间刷到一个视频展示的就是德国机械收割机非常高效自动化地24小时不间断地在超广阔的土地上采摘各种作物&#xff0c;专家设计出来了很多用于采摘不同农作物的大型机械&#xff0c;看着非常震撼&#xff0c;但是我们国内农业的发展还是相对比较滞后的&#xff0…
阅读更多...
计算机视觉 | OpenCV 实现手势虚拟控制亮度和音量

计算机视觉 | OpenCV 实现手势虚拟控制亮度和音量

Hi&#xff0c;大家好&#xff0c;我是半亩花海。在当今科技飞速发展的时代&#xff0c;我们身边充斥着各种智能设备&#xff0c;然而&#xff0c;如何更便捷地与这些设备进行交互却是一个不断被探索的课题。本文将主要介绍一个基于 OpenCV 的手势识别项目&#xff0c;通过手势…
阅读更多...
基于Java学生管理系统设计与实现（源码+部署文档）

基于Java学生管理系统设计与实现（源码+部署文档）

博主介绍&#xff1a; ✌至今服务客户已经1000、专注于Java技术领域、项目定制、技术答疑、开发工具、毕业项目实战 ✌ &#x1f345; 文末获取源码联系 &#x1f345; &#x1f447;&#x1f3fb; 精彩专栏 推荐订阅 &#x1f447;&#x1f3fb; 不然下次找不到 Java项目精品实…
阅读更多...
解锁阿里巴巴面试题：创建线程的几种方式？

解锁阿里巴巴面试题：创建线程的几种方式？

大家好，我是小米！今天我们来聊一个热门话题——阿里巴巴面试题：创建线程的几种方式。在技术的海洋中，线程是我们编程航程中的一艘不可或缺的船，驶向程序的未知领域。那么，究竟有哪些方式可以创建线程呢？让我们一起揭开这个技术的神秘面纱！ 实现Runnable接口 首先，我…
阅读更多...
最好的方式来预测未来是去创造它。

最好的方式来预测未来是去创造它。

在辅导企业的过程中&#xff0c;对于「建设性的冲突」持开放态度&#xff0c;这背后反映了一种深刻的系统思考和变革管理的理念。在许多传统工作环境中&#xff0c;「和谐」往往被高度重视&#xff0c;但这种表面的和谐有时会掩盖问题的真相&#xff0c;阻碍组织的深层次变革和…
阅读更多...
最新文章

Copyright @ 2022~2023