[ ZwQueryInformationProcess 在 Windows 的未来版本中可能已更改或不可用。 应用程序应使用本主题中列出的备用函数。]

检索有关指定进程的信息。

NTSTATUS WINAPI ZwQueryInformationProcess(
  _In_      HANDLE           ProcessHandle,
  _In_      PROCESSINFOCLASS ProcessInformationClass,
  _Out_     PVOID            ProcessInformation,
  _In_      ULONG            ProcessInformationLength,
  _Out_opt_ PULONG           ReturnLength
parameters
ProcessHandle [in]
要检索信息的进程句柄。
ProcessInformationClass [in]
要检索的进程信息的类型。 此参数可以是 PROCESSINFOCLASS 枚举中的以下值之一。
ProcessBasicInformation
0
检索指向 PEB 结构的指针，该结构可用于确定是否正在调试指定的进程，以及系统用于标识指定进程的唯一值。 
 最好使用 CheckRemoteDebuggerPresent 和 GetProcessId 函数来获取此信息。

ProcessDebugPort
7
检索一个 DWORD_PTR 值，该值是进程的调试器端口号。 非零值表示进程正在环 3 调试器的控制下运行。
 最好使用 CheckRemoteDebuggerPresent 或 IsDebuggerPresent 函数。

ProcessWow64Information
26
确定进程是否在 WOW64 环境中运行 (WOW64 是允许基于 Win32 的应用程序在 64 位 Windows) 上运行的 x86 模拟器。
 最好使用 IsWow64Process 函数来获取此信息。

ProcessImageFileName
27
检索包含进程的图像文件名称 的UNICODE_STRING 值。

ProcessBreakOnTermination
29
检索一个 ULONG 值，该值指示进程是否被视为关键过程。
[！注意]
此值可以从 Windows XP SP3 开始使用。 从 Windows 8.1 开始，应改用 IsProcessCritical。


ProcessProtectionInformation
61
检索指示受保护进程类型和受保护进程签名者的 BYTE 值。

ProcessInformation [out]
指向由调用应用程序提供的缓冲区的指针，函数将请求的信息写入其中。 写入的信息的大小因 ProcessInformationClass 参数的值而异：
PROCESS_BASIC_INFORMATION
当 ProcessInformationClass 参数为 ProcessBasicInformation 时， ProcessInformation 参数指向的缓冲区应足够大，足以容纳具有以下布局 的单个PROCESS_BASIC_INFORMATION 结构：
typedef struct _PROCESS_BASIC_INFORMATION {
    NTSTATUS ExitStatus;
    PPEB PebBaseAddress;
    ULONG_PTR AffinityMask;
    KPRIORITY BasePriority;
    ULONG_PTR UniqueProcessId;
    ULONG_PTR InheritedFromUniqueProcessId;
} PROCESS_BASIC_INFORMATION;
AffinityMask
可以强制转换为 DWORD ，并且包含 GetProcessAffinityMask 为 参数返回的 lpProcessAffinityMask 相同值。
BasePriority
包含计划优先级中所述的进程 优先级。
UniqueProcessId
可以强制转换为 DWORD ，并包含此过程的唯一标识符。 最好使用 GetProcessId 函数来检索此信息。
InheritedFromUniqueProcessId
可以强制转换为 DWORD ，并包含父进程的唯一标识符。
ULONG_PTR
当 ProcessInformationClass 参数为 ProcessWow64Information 时， ProcessInformation 参数指向的缓冲区应足够大，以容纳 ULONG_PTR。 如果此值为非零值，则表示进程在 WOW64 环境中运行;否则，如果值等于零，则表示进程不在 WOW64 环境中运行。
最好使用 IsWow64Process 函数来确定进程是否在 WOW64 环境中运行。
UNICODE_STRING
当 ProcessInformationClass 参数为 ProcessImageFileName 时， ProcessInformation 参数指向的缓冲区应足够大，足以容纳 UNICODE_STRING 结构和字符串本身。 存储在 Buffer 成员中的字符串是图像文件的名称。
如果缓冲区太小，函数将失败并显示STATUS_INFO_LENGTH_MISMATCH错误代码， 并将 ReturnLength 参数设置为所需的缓冲区大小。
PS_PROTECTION
当 ProcessInformationClass 参数为 ProcessProtectionInformation 时， ProcessInformation 参数指向的缓冲区应足够大，足以容纳具有以下布局 的单个PS_PROTECTION 结构：
typedef struct _PS_PROTECTION {
    union {
        UCHAR Level;
        struct {
            UCHAR Type   : 3;
            UCHAR Audit  : 1;                  // Reserved
            UCHAR Signer : 4;
} PS_PROTECTION, *PPS_PROTECTION;
前 3 位包含受保护进程的类型：
typedef enum _PS_PROTECTED_TYPE {
    PsProtectedTypeNone = 0,
    PsProtectedTypeProtectedLight = 1,
    PsProtectedTypeProtected = 2
} PS_PROTECTED_TYPE, *PPS_PROTECTED_TYPE;
前 4 位包含受保护的进程签名者：
typedef enum _PS_PROTECTED_SIGNER {
    PsProtectedSignerNone = 0,
    PsProtectedSignerAuthenticode,
    PsProtectedSignerCodeGen,
    PsProtectedSignerAntimalware,
    PsProtectedSignerLsa,
    PsProtectedSignerWindows,
    PsProtectedSignerWinTcb,
    PsProtectedSignerWinSystem,
    PsProtectedSignerApp,
    PsProtectedSignerMax
} PS_PROTECTED_SIGNER, *PPS_PROTECTED_SIGNER;
ProcessInformationLength [in]
ProcessInformation 参数指向的缓冲区大小（以字节为单位）。
ReturnLength [out， optional]
指向变量的指针，函数在其中返回所请求信息的大小。 如果函数成功，则这是写入 ProcessInformation 参数指向的缓冲区的信息的大小，但如果缓冲区太小，这是成功接收信息所需的最小缓冲区大小。
返回 NTSTATUS 成功或错误代码。
NTSTATUS 错误代码的形式和意义列在 DDK 中提供的 Ntstatus.h 头文件中，并在 DDK 文档中Kernel-Mode驱动程序体系结构/设计指南/驱动程序编程技术/日志记录错误下进行了介绍。
ZwQueryInformationProcess 函数及其返回的结构在操作系统内部，可能会从一个版本的 Windows 更改为另一个版本。 为了保持应用程序的兼容性，最好改用 ProcessInformationClass 参数的说明中提到的公共函数。
如果使用 ZwQueryInformationProcess，请通过 运行时动态链接访问函数。 这样，当函数已更改或从操作系统中删除时，代码就有机会正常响应。 但是，可能无法检测到签名更改。
此函数没有关联的导入库。 必须使用 LoadLibrary 和 GetProcAddress 函数动态链接到Ntdll.dll。