请教如何取得线程的状态(NtQuerySystemInformation)?

Question

NtQuerySystemInformation的相关资料:Native API乃Windows用户模式中为上层Win32 API提供接口的本机系统服务。平常我们总是调用MS为我们提供的公用的Win32 API函数来实现来实现我们系统的功能。今天我们要谈的是如何通过本机系统服务(Native API）来探测本机系统信息。当然，微软没有为我们提供关于本机系统服务的文档 (Undocumented)，也就是不会为对它的使用提供任何的保证，所以我们不提倡使用Native API来开发软件。不过在特殊情况下，本机系统服务却为我们提供了通向“秘密”的捷径。本文提到的信息仅在Windows2000/XP/2003上测试过。 
　　今天，我们主要讨论的是一个函数NtQuerySystemInformation(ZwQuerySystemInformation)。当然，你不要小看这么一个函数，它却为我们提供了丰富的系统信息，同时还包括对某些信息的控制和设置。以下是这个函数的原型：typedef NTSTATUS (__stdcall *NTQUERYSYSTEMINFORMATION)
　　　　　　　　 (IN　　  SYSTEM_INFORMATION_CLASS SystemInformationClass,
　　IN OUT  PVOID　　　　　　　　　　SystemInformation,
　　IN　　  ULONG　　　　　　　　　　SystemInformationLength,
　　OUT　　 PULONG　　　　　　　　   ReturnLength  OPTIONAL)；
NTQUERYSYSTEMINFORMATION NtQuerySystemInformation；翻译成 Delphi 语法大概是这样吧：
function NtQuerySystemInformation(
           SystemInformationClass:DWord;  // 这个参数最终根据需要取得的信息而变
              SystemInformation:Pointer;  // 这个参数指向接收取来的信息的缓存结构
          SystemInformationLength:DWord;  // 这个参数指出上面这个缓存结构的大小
      ReturnLength:DWord):DWord;stdcall;  // 这个参数指出实际返回的数据的大小
于是可以在 Delphi 程序中使用下面的语法调用这个函数：
function NtQuerySystemInformation; external 'NTdll.dll' name 'NtQuerySystemInformation';　从中可以看到，SystemInformationClass是一个类型信息，它大概提供了50余种信息，也就是我们可以通过这个函数对大约50多种的系统信息进行探测或设置。SystemInformation是一个LPVOID型的指针，它为我们提供需要获得的信息，或是我们需要设置的系统信息。SystemInformationLength是SystemInformation的长度，它根据探测的信息类型来决定。至于ReturnLength则是系统返回的需要的长度，通常可以设置为空指针(NULL)。　　首先，我们来看看大家比较熟悉的系统进程/线程相关的信息。这个题目在网上已经讨论了N多年了，所以我就不在老生常谈了，呵呵。那么就提出这个结构类型的定义：

Answer 1

typedef struct _SYSTEM_PROCESSES
{
ULONG　　　　  NextEntryDelta；　　　　  //构成结构序列的偏移量；
ULONG　　　　  ThreadCount；　　　　　　 //线程数目；
ULONG　　　　  Reserved1[6]；　　　　   
LARGE_INTEGER  CreateTime；　　　　　　  //创建时间；
LARGE_INTEGER  UserTime；　　　　　　　　//用户模式(Ring 3)的CPU时间；
LARGE_INTEGER  KernelTime；　　　　　　  //内核模式(Ring 0)的CPU时间；
UNICODE_STRING ProcessName；　　　　　　 //进程名称；
KPRIORITY　　  BasePriority；　　　　　　//进程优先权；
ULONG　　　　  ProcessId；　　　　　　   //进程标识符；
ULONG　　　　  InheritedFromProcessId；  //父进程的标识符；
ULONG　　　　  HandleCount；　　　　　　 //句柄数目；
ULONG　　　　  Reserved2[2]；
VM_COUNTERS　　VmCounters；　　　　　　  //虚拟存储器的结构，见下；
IO_COUNTERS　　IoCounters；　　　　　　  //IO计数结构，见下；
SYSTEM_THREADS Threads[1]；　　　　　　  //进程相关线程的结构数组，见下；
}SYSTEM_PROCESSES,*PSYSTEM_PROCESSES；typedef struct _SYSTEM_THREADS
{
LARGE_INTEGER KernelTime；　　　　　　   //CPU内核模式使用时间；
LARGE_INTEGER UserTime；　　　　　　　　 //CPU用户模式使用时间；
LARGE_INTEGER CreateTime；　　　　　　   //线程创建时间；
ULONG　　　　 WaitTime；　　　　　　　　 //等待时间；
PVOID　　　　 StartAddress；　　　　　　 //线程开始的虚拟地址；
CLIENT_ID　　 ClientId；　　　　　　　　 //线程标识符；
KPRIORITY　　 Priority；　　　　　　　　 //线程优先级；
KPRIORITY　　 BasePriority；　　　　　　 //基本优先级；
ULONG　　　　 ContextSwitchCount；　　   //环境切换数目；
THREAD_STATE  State；　　　　　　　　　　//当前状态；
KWAIT_REASON  WaitReason；　　　　　　   //等待原因；
}SYSTEM_THREADS,*PSYSTEM_THREADS；typedef struct _VM_COUNTERS
{
ULONG PeakVirtualSize；　　　　　　　　  //虚拟存储峰值大小；
ULONG VirtualSize；　　　　　　　　　　  //虚拟存储大小；
ULONG PageFaultCount；　　　　　　　　   //页故障数目；
ULONG PeakWorkingSetSize；　　　　　　   //工作集峰值大小；
ULONG WorkingSetSize；　　　　　　　　   //工作集大小；
ULONG QuotaPeakPagedPoolUsage；　　　　  //分页池使用配额峰值；
ULONG QuotaPagedPoolUsage；　　　　　　  //分页池使用配额；
ULONG QuotaPeakNonPagedPoolUsage；　　   //非分页池使用配额峰值；
ULONG QuotaNonPagedPoolUsage；　　　　   //非分页池使用配额；
ULONG PagefileUsage；　　　　　　　　　　//页文件使用情况；
ULONG PeakPagefileUsage；　　　　　　　　//页文件使用峰值；
}VM_COUNTERS,*PVM_COUNTERS；typedef struct _IO_COUNTERS
{
LARGE_INTEGER ReadOperationCount；　　   //I/O读操作数目；
LARGE_INTEGER WriteOperationCount；　　  //I/O写操作数目；
LARGE_INTEGER OtherOperationCount；　　  //I/O其他操作数目；
LARGE_INTEGER ReadTransferCount；　　　　//I/O读数据数目；
LARGE_INTEGER WriteTransferCount；　　   //I/O写数据数目；
LARGE_INTEGER OtherTransferCount；　　   //I/O其他操作数据数目；
}IO_COUNTERS,*PIO_COUNTERS；

Answer 2

问题就是: 我在Delphi中总是执行失败? procedure TForm1.GetThreadInformation;var
  SysProcInfo: PPROCESSINFO;
  status: Longint; {long}
begin
  if @ZwQuerySystemInformation = nil then
    ZwQuerySystemInformation := GetProcAddress(GetModuleHandle('ntdll.dll'),
      'ZwQuerySystemInformation');   status := ZwQuerySystemInformation(SystemProcessAndThreadsInfomation, @SysProcInfo,
   SizeOf(SysProcInfo), 0);
 // 在这里总是反回一个错误 status <>0
  if status <> 0 then Exit;
 
end;