可以使用未记录的 SYSTEM_PROCESS_INFORMATION 吗？

Question

我为了教育目的而挂钩 NtQuerySystemInformation，我进入了一个用于 SYSTEM_PROCESS_INFORMATION 的工作结构。然后我想到了一些问题：

1 - 可以使用这种结构吗？

2 - 官方结构是什么？

3 - 人们是如何发现这种无证结构的？

这是我正在谈论的代码的一部分，包含结构：

//here is what i'm talking about
type
PProcessInfo = ^TProcessInfo;
TProcessInfo=record
dwOffset : dword;
dwThreadCount : dword;
dwUnkown1 : array[0..5] of dword;
ftCreationTime : TFileTime;
dwUnkown2 : dword;
dwUnkown3 : dword;
dwUnkown4 : dword;
dwUnkown5 : dword;
dwUnkown6 : dword;
pszProcessName : PWideChar;
dwBasePriority : dword;
dwProcessID : dword;
dwParentProcessID : dword;
dwHandleCount : dword;
dwUnkown7 : dword;
dwUnkown8 : dword;
dwVirtualBytesPeak : dword;
dwVirtualBytes : dword;
dwPageFaults : dword;
dwWorkingSetPeak : dword;
dwWorkingSet : dword;
dwUnkown9 : dword;
dwPagedPool : dword;
dwUnkown10 : dword;
dwNonPagedPool : dword;
dwPageFileBytesPeak : dword;
dwPageFileBytes : dword;
dwPrivateBytes : dword;
dwUnkown11 : dword;
dwUnkown12 : dword;
dwUnkown13 : dword;
dwUnkown14 : dword;
ThreadInfo : PThreadInfo;
end;
//finish here, below is just some little snippet of the code

function NtQuerySystemInformationCallbackProc(dt : dword; buf : pointer; bufsize : dword; retlen : pointer) : dword; stdcall;
type
PBA = ^TBA;
TBA = array[0..1000000] of byte;
var
tmpbuf: PBA;
ProcessInfo ,LastPinfo : PProcessInfo;
cp: DWORD;
curproc:string;
begin
Result := NtQuerySystemInformationNextHook(dt,buf,bufsize,retlen);
if dt<>5 then exit;
if result<>0 then exit;
cp := 0;
tmpbuf := buf;
continues....

没有更多未记录的结构，但这是我唯一可以正常工作的结构。

Answer 1

可以用这个结构吗？

这取决于你。 documentation 说：

NtQuerySystemInformation 可能会在未来的 Windows 版本中更改或不可用。应用程序应使用本主题中列出的替代功能。

我想决定取决于你是否关心你的应用程序在结构改变、函数被删除或行为被修改的情况下是否正常工作。

官方结构是什么？

可以在documentation找到。

人们是如何发现这种无证结构的？

结构是documented。保留字段的解释很可能是通过逆向工程发现的。另一种可能性是信息泄露，要么来自微软员工，要么来自阅读保密协议下的源代码的人。