如何通过Win32 C API枚举本地系统所有Win32 Job Object？

Win32 API本身没有提供直接枚举所有Job Object的公开函数，但可以通过NT原生API实现高效枚举，避免遍历进程的高资源消耗。核心思路是调用NtQuerySystemInformation并指定SystemJobInformation信息类，直接从系统内核获取所有Job的元数据。

实现步骤 #

1. 动态加载ntdll.dll中的NtQuerySystemInformation函数（避免静态链接未公开API的兼容性问题）。
2. 两次调用NtQuerySystemInformation：第一次获取所需缓冲区大小，第二次获取实际的Job信息列表。
3. 解析返回的SYSTEM_JOB_INFORMATION结构体数组，提取每个Job的名称。

C代码示例 #

#include <windows.h>
#include <winternl.h>
#include <stdio.h>

// 定义未公开的系统信息类
#define SystemJobInformation 0x5B

// 定义SYSTEM_JOB_INFORMATION结构体（Windows Vista+兼容）
typedef struct _SYSTEM_JOB_INFORMATION {
    HANDLE JobHandle;
    LARGE_INTEGER TotalUserTime;
    LARGE_INTEGER TotalKernelTime;
    LARGE_INTEGER ThisPeriodTotalUserTime;
    LARGE_INTEGER ThisPeriodTotalKernelTime;
    ULONG TotalPageFaultCount;
    ULONG TotalProcesses;
    ULONG ActiveProcesses;
    ULONG TotalTerminatedProcesses;
    UNICODE_STRING JobName;
} SYSTEM_JOB_INFORMATION, *PSYSTEM_JOB_INFORMATION;

// 定义NtQuerySystemInformation函数原型
typedef NTSTATUS(NTAPI* PNtQuerySystemInformation)(
    SYSTEM_INFORMATION_CLASS SystemInformationClass,
    PVOID SystemInformation,
    ULONG SystemInformationLength,
    PULONG ReturnLength
);

int main() {
    PNtQuerySystemInformation NtQuerySystemInformation = NULL;
    NTSTATUS status;
    PVOID buffer = NULL;
    ULONG bufferSize = 0;
    ULONG returnLength = 0;

    // 动态加载ntdll.dll和目标函数
    HMODULE ntdll = LoadLibraryA("ntdll.dll");
    if (!ntdll) {
        printf("Load ntdll.dll failed: %d\n", GetLastError());
        return 1;
    }
    NtQuerySystemInformation = (PNtQuerySystemInformation)GetProcAddress(ntdll, "NtQuerySystemInformation");
    if (!NtQuerySystemInformation) {
        printf("GetProcAddress failed: %d\n", GetLastError());
        FreeLibrary(ntdll);
        return 1;
    }

    // 第一次调用获取缓冲区大小
    status = NtQuerySystemInformation(SystemJobInformation, NULL, 0, &returnLength);
    if (status != STATUS_INFO_LENGTH_MISMATCH) {
        printf("First NtQuerySystemInformation failed: 0x%X\n", status);
        FreeLibrary(ntdll);
        return 1;
    }
    bufferSize = returnLength;
    buffer = HeapAlloc(GetProcessHeap(), HEAP_ZERO_MEMORY, bufferSize);
    if (!buffer) {
        printf("HeapAlloc failed: %d\n", GetLastError());
        FreeLibrary(ntdll);
        return 1;
    }

    // 第二次调用获取实际Job信息
    status = NtQuerySystemInformation(SystemJobInformation, buffer, bufferSize, &returnLength);
    if (!NT_SUCCESS(status)) {
        printf("Second NtQuerySystemInformation failed: 0x%X\n", status);
        HeapFree(GetProcessHeap(), 0, buffer);
        FreeLibrary(ntdll);
        return 1;
    }

    // 遍历并输出所有Job名称
    PSYSTEM_JOB_INFORMATION jobInfo = (PSYSTEM_JOB_INFORMATION)buffer;
    ULONG count = returnLength / sizeof(SYSTEM_JOB_INFORMATION);
    for (ULONG i = 0; i < count; i++) {
        if (jobInfo[i].JobName.Buffer && jobInfo[i].JobName.Length > 0) {
            wprintf(L"Job Name: %s\n", jobInfo[i].JobName.Buffer);
        } else {
            printf("Job %lu has no name\n", i);
        }
    }

    // 清理资源
    HeapFree(GetProcessHeap(), 0, buffer);
    FreeLibrary(ntdll);
    return 0;
}

关键注意事项 #

• 权限要求：默认普通用户权限即可获取Job信息，若遇到访问拒绝，可尝试通过AdjustTokenPrivileges启用SE_DEBUG_NAME权限。
• 兼容性：该方案支持Windows Vista及以上版本，Windows XP及更早系统无此API支持。
• 结构体稳定性：SYSTEM_JOB_INFORMATION是未公开结构体，不同Windows版本可能存在细微字段变化，但核心的JobName字段在主流版本中保持一致。
• 错误处理：需严格处理NTSTATUS返回值，使用NT_SUCCESS(status)宏判断调用是否成功。

内容的提问来源于stack exchange，提问作者jkroepke