ZwQuerySystemInformation第一个参数详解

ZwQuerySystemInformation是Windows系统的一个API函数，用于获取系统的信息。该函数的第一个参数是一个枚举类型的值，用于指定要获取的系统信息的类型。

以下是一些常见的枚举类型和它们对应的系统信息：

1. SystemBasicInformation：获取基本系统信息，如系统时间、处理器型号、物理内存总量等。

2. SystemProcessInformation：获取所有进程信息，包括进程ID、父进程ID、进程优先级、虚拟内存大小等。

3. SystemProcessorPerformanceInformation：获取每个处理器的性能信息，包括处理器使用率、上下文切换次数等。

4. SystemHandleInformation：获取当前系统中所有打开的句柄信息。

5. SystemDriverInformation：获取系统中所有驱动程序的信息。

6. SystemModuleInformation：获取系统中所有加载的模块信息。

7. SystemFileCacheInformation：获取文件缓存的信息，如缓存的文件数、缓存的字节数等。

8. SystemKernelDebuggerInformation：获取内核调试器的信息，如是否启用了内核调试器等。

通过指定不同的枚举值，可以获取不同类型的系统信息。

相关问题

ZwQuerySystemInformation第一个参数为SystemProcessInformation返回值是什么

ZwQuerySystemInformation函数的第一个参数为SystemProcessInformation时，返回的值是一个指向SYSTEM_PROCESS_INFORMATION结构体的指针。该结构体包含系统中所有进程的信息，包括进程ID、父进程ID、线程数、虚拟内存大小、物理内存大小等。

ZwQuerySystemInformation 第一个参数为0xB 返回的结构体

ZwQuerySystemInformation函数的第一个参数为SystemInformationClass，0xB对应的是SystemModuleInformation，返回的结构体为SYSTEM_MODULE_INFORMATION。

SYSTEM_MODULE_INFORMATION结构体定义如下：

typedef struct _SYSTEM_MODULE_INFORMATION {
    ULONG Reserved[2];
    PVOID Base;
    ULONG Size;
    ULONG Flags;
    USHORT Index;
    USHORT Unknown;
    USHORT LoadCount;
    USHORT ModuleNameOffset;
    CHAR ImageName[256];
} SYSTEM_MODULE_INFORMATION, *PSYSTEM_MODULE_INFORMATION;

其中，各个字段的含义如下：

- Reserved：保留字段。
- Base：模块的基地址。
- Size：模块的大小。
- Flags：模块的标志。
- Index：模块的索引。
- Unknown：未知字段。
- LoadCount：模块的加载计数。
- ModuleNameOffset：模块名的偏移量。
- ImageName：模块名。