[
ZwQueryInformationProcess
在 Windows 的未来版本中可能已更改或不可用。 应用程序应使用本主题中列出的备用函数。]
检索有关指定进程的信息。
NTSTATUS WINAPI ZwQueryInformationProcess(
_In_ HANDLE ProcessHandle,
_In_ PROCESSINFOCLASS ProcessInformationClass,
_Out_ PVOID ProcessInformation,
_In_ ULONG ProcessInformationLength,
_Out_opt_ PULONG ReturnLength
parameters
ProcessHandle [in]
要检索信息的进程句柄。
ProcessInformationClass [in]
要检索的进程信息的类型。 此参数可以是 PROCESSINFOCLASS 枚举中的以下值之一。
- ProcessBasicInformation
- 0
检索指向 PEB 结构的指针,该结构可用于确定是否正在调试指定的进程,以及系统用于标识指定进程的唯一值。
最好使用 CheckRemoteDebuggerPresent 和 GetProcessId 函数来获取此信息。
- ProcessDebugPort
- 7
检索一个 DWORD_PTR 值,该值是进程的调试器端口号。 非零值表示进程正在环 3 调试器的控制下运行。
最好使用 CheckRemoteDebuggerPresent 或 IsDebuggerPresent 函数。
- ProcessWow64Information
- 26
确定进程是否在 WOW64 环境中运行 (WOW64 是允许基于 Win32 的应用程序在 64 位 Windows) 上运行的 x86 模拟器。
最好使用 IsWow64Process 函数来获取此信息。
- ProcessImageFileName
- 27
检索包含进程的图像文件名称 的UNICODE_STRING 值。
- ProcessBreakOnTermination
- 29
检索一个 ULONG 值,该值指示进程是否被视为关键过程。
[!注意]
此值可以从 Windows XP SP3 开始使用。 从 Windows 8.1 开始,应改用 IsProcessCritical。
- ProcessProtectionInformation
- 61
检索指示受保护进程类型和受保护进程签名者的 BYTE 值。
ProcessInformation [out]
指向由调用应用程序提供的缓冲区的指针,函数将请求的信息写入其中。 写入的信息的大小因 ProcessInformationClass 参数的值而异:
PROCESS_BASIC_INFORMATION
当 ProcessInformationClass 参数为 ProcessBasicInformation 时, ProcessInformation 参数指向的缓冲区应足够大,足以容纳具有以下布局 的单个PROCESS_BASIC_INFORMATION 结构:
typedef struct _PROCESS_BASIC_INFORMATION {
NTSTATUS ExitStatus;
PPEB PebBaseAddress;
ULONG_PTR AffinityMask;
KPRIORITY BasePriority;
ULONG_PTR UniqueProcessId;
ULONG_PTR InheritedFromUniqueProcessId;
} PROCESS_BASIC_INFORMATION;
AffinityMask
可以强制转换为 DWORD ,并且包含 GetProcessAffinityMask 为 参数返回的 lpProcessAffinityMask
相同值。
BasePriority
包含计划优先级中所述的进程 优先级。
UniqueProcessId
可以强制转换为 DWORD ,并包含此过程的唯一标识符。 最好使用 GetProcessId 函数来检索此信息。
InheritedFromUniqueProcessId
可以强制转换为 DWORD ,并包含父进程的唯一标识符。
ULONG_PTR
当 ProcessInformationClass 参数为 ProcessWow64Information 时, ProcessInformation 参数指向的缓冲区应足够大,以容纳 ULONG_PTR。 如果此值为非零值,则表示进程在 WOW64 环境中运行;否则,如果值等于零,则表示进程不在 WOW64 环境中运行。
最好使用 IsWow64Process 函数来确定进程是否在 WOW64 环境中运行。
UNICODE_STRING
当 ProcessInformationClass 参数为 ProcessImageFileName 时, ProcessInformation 参数指向的缓冲区应足够大,足以容纳 UNICODE_STRING 结构和字符串本身。 存储在 Buffer 成员中的字符串是图像文件的名称。
如果缓冲区太小,函数将失败并显示STATUS_INFO_LENGTH_MISMATCH错误代码, 并将 ReturnLength 参数设置为所需的缓冲区大小。
PS_PROTECTION
当 ProcessInformationClass 参数为 ProcessProtectionInformation 时, ProcessInformation 参数指向的缓冲区应足够大,足以容纳具有以下布局 的单个PS_PROTECTION 结构:
typedef struct _PS_PROTECTION {
union {
UCHAR Level;
struct {
UCHAR Type : 3;
UCHAR Audit : 1; // Reserved
UCHAR Signer : 4;
} PS_PROTECTION, *PPS_PROTECTION;
前 3 位包含受保护进程的类型:
typedef enum _PS_PROTECTED_TYPE {
PsProtectedTypeNone = 0,
PsProtectedTypeProtectedLight = 1,
PsProtectedTypeProtected = 2
} PS_PROTECTED_TYPE, *PPS_PROTECTED_TYPE;
前 4 位包含受保护的进程签名者:
typedef enum _PS_PROTECTED_SIGNER {
PsProtectedSignerNone = 0,
PsProtectedSignerAuthenticode,
PsProtectedSignerCodeGen,
PsProtectedSignerAntimalware,
PsProtectedSignerLsa,
PsProtectedSignerWindows,
PsProtectedSignerWinTcb,
PsProtectedSignerWinSystem,
PsProtectedSignerApp,
PsProtectedSignerMax
} PS_PROTECTED_SIGNER, *PPS_PROTECTED_SIGNER;
ProcessInformationLength [in]
ProcessInformation 参数指向的缓冲区大小(以字节为单位)。
ReturnLength [out, optional]
指向变量的指针,函数在其中返回所请求信息的大小。 如果函数成功,则这是写入 ProcessInformation 参数指向的缓冲区的信息的大小,但如果缓冲区太小,这是成功接收信息所需的最小缓冲区大小。
返回 NTSTATUS 成功或错误代码。
NTSTATUS 错误代码的形式和意义列在 DDK 中提供的 Ntstatus.h 头文件中,并在 DDK 文档中Kernel-Mode驱动程序体系结构/设计指南/驱动程序编程技术/日志记录错误下进行了介绍。
ZwQueryInformationProcess 函数及其返回的结构在操作系统内部,可能会从一个版本的 Windows 更改为另一个版本。 为了保持应用程序的兼容性,最好改用 ProcessInformationClass 参数的说明中提到的公共函数。
如果使用 ZwQueryInformationProcess,请通过 运行时动态链接访问函数。 这样,当函数已更改或从操作系统中删除时,代码就有机会正常响应。 但是,可能无法检测到签名更改。
此函数没有关联的导入库。 必须使用 LoadLibrary 和 GetProcAddress 函数动态链接到Ntdll.dll。