一些 PECMD 封装函数和调用 WinApi 示例代码

Bluebells · 发表于 2026-1-17 19:19:25

本帖最后由 Bluebells 于 2026-8-31 20:53 编辑

一些实用的(?) PECMD 示例代码分享给大家参考参考
代码质量可能不太好, 一些术语描述可能有误, 因为本人没啥编程基础, 希望大家谅解

EFI 变量设置封装函数
简单的 Ini 文本文件读写封装函数 (2楼)
获取目标驱动器的磁盘号和分区号 (3楼)
判断当前安全启动状态或使用 18 楼示例代码
获取系统版本号 (8楼)
获取计算机名, 当前登录用户名和 Windows 系统产品名称 (10楼)
脱机注册表封装函数
获取系统(启动)分区 (14楼)
获取系统当前启动方式 (15楼)
获取 Windows, System 和 Temp 目录 (16楼)
调用libwim-15.dll函数获取WIM/ESD映像文件信息
枚举 PE 文件中的证书名和 EFI 中的某些变量中的证书名
获取系统当前安全启动状态 (17楼)
一些路径处理函数的调用示例 (21楼)
判断计算机是否已加入工作组或域 (22楼)
查看 VHD 启动信息 (23楼)

Bluebells · 发表于 2026-1-17 19:20:19

本帖最后由 Bluebells 于 2026-8-31 20:26 编辑

;IniRead 有五个参数, 第一个参数为目标 .ini 完整文件名, 第二个参数为节名, 第三个参数为键名, 第四个参数为默认值, 第五个参数为存放读取的值的变量
;当无法读取目标键的值时, 其返回值(第五个参数变量值)将为默认值(第四个参数定义的值)
_SUB IniRead
TEAM ENVI &FileName=%~1| ENVI &SectionName=%~2| ENVI &KeyName=%~3| ENVI &DefValue=%~4
ENVI$# &ValueName=*65535 0
CALL $--qd --ret:&ret Kernel32.dll,GetPrivateProfileStringW,$%&SectionName%,$%&KeyName%,$%&DefValue%,*&ValueName,#65535,$%&FileName%
ENVI-ret %~5=%&ValueName%
_END
;IniWrite 有四个参数, 第一个参数为目标 .ini 完整文件名, 第二个参数为节名, 第三个参数为键名, 第四个参数为值名, 第五个参数为返回值(若返回零则写入失败)
;其中第四个和第五个参数为可选, 当第四个参数留空时, 将移除目标键的值
_SUB IniWrite
TEAM ENVI &FileName=%~1| ENVI &SectionName=%~2| ENVI &KeyName=%~3| ENVI &ValueName=%~4
CALL $--qd --ret:&ret Kernel32.dll,WritePrivateProfileStringW,$%&SectionName%,$%&KeyName%,$%&ValueName%,$%&FileName%
ENVI-ret %~5=%&ret%
_END
;示例
IniRead "D:\Example\Config.ini" "Settings" "Simple" "" &Value
MESS %&Value%
IniWrite "D:\Example\Config.ini" "Settings" "Simple" "Value" &RetVal
MESS %&RetVal%

复制代码

PS: mdyblog 老大的 PECMD 的示例代码(readini.wcs)中有读取 Ini 文本文件的封装代码段, 不过挺复杂的; 将 IniWrite 封装函数内置到 PECMD 可执行文件里时好像需要将代码文件的文本编码转换为 ANSI 编码, 否则可能会导致 PECMD 在执行该封装函数时卡死

Bluebells · 发表于 2026-1-17 19:23:43

本帖最后由 Bluebells 于 2026-8-31 20:34 编辑

;只有一个输入参数和两个输出参数
;输入参数为路径, 支持驱动器号(盘符), 路径命名空间(\\?\HarddiskVolumeX, \\?\HarddiskX\PartitionX 等)
;第一个输出参数为设备号, 第二个输出参数为分区号
_SUB GetDevicePartNum
TEAM ENVI &drv=%~1| ENVI-ret %~2=| ENVI-ret %~3=
TEAM ENVI &prefix=\\?\| ENVI &gr=
TEAM LSTR aStr1=4,%&drv%| LSTR aStr2=7,%&drv%
FIND $%aStr1%=\\?\,ENVI &prefix=
FIND $%aStr2%=\Device,ENVI &gr=GLOBALROOT
TEAM ENVI &FILE_ANY_ACCESS=0x00000000| ENVI &OPEN_EXISTING=3
TEAM ENVI &IOCTL_STORAGE_GET_DEVICE_NUMBER=0x2D1080| ENVI$# &udtQuery=*4 0 *4 0 *4 0| ENVI$# &cbBytesReturned=*8 0
CALL $--qd --ret:&hFile Kernel32.dll,CreateFileW,$%&prefix%%&gr%%&drv%,#0,#%&FILE_ANY_ACCESS%,#0,#%&OPEN_EXISTING%,#0,#0
IFEX #%&hFile%=-1, EXIT
CALL $--qd --ret:&ret Kernel32.dll,DeviceIoControl,#%&hFile%,#%&IOCTL_STORAGE_GET_DEVICE_NUMBER%,#0,#0,*&udtQuery,#12,*&cbBytesReturned,#0 //待处理
CALL $--qd --ret:&ret Kernel32.dll,CloseHandle,#%&hFile%
TEAM ENVI?int &udtQuery=&DeviceNum:4| ENVI?int &udtQuery=&PartNum:8
ENVI-ret %~2=%&DeviceNum%
ENVI-ret %~3=%&PartNum%
_END
;示例
GetDevicePartNum C: &1 &2
GetDevicePartNum \\?\HarddiskVolume4 &3 &4
MESS 设备(磁盘)号: %1%\n分区号: %2%\n\n设备(磁盘)号: %3%\n分区号: %4%

复制代码

a66 · 发表于 2026-1-17 19:30:51

了解

smile_z · 发表于 2026-1-17 19:32:19

学习一下

红毛樱木 · 发表于 2026-1-17 19:47:52

强贴留名

it323 · 发表于 2026-1-17 19:54:47

了解一下。

Bluebells · 发表于 2026-1-17 20:09:23

本帖最后由 Bluebells 于 2026-8-31 20:34 编辑

;此封装函数有三个参数, 第一个参数用于存放返回的操作系统主要版本号, 第二个参数用于存放返回的操作系统次要版本号, 第三个参数用于存放返回的操作系统内部版本号
_SUB RtlGetVersion
ENVI$# &VersionInformation=*4 0 *4 0 *4 0 *4 0 *4 0 *256 0
ENVI-long &VersionInformation=276:0
CALL $--qd --ret:&ret ntdll.dll,RtlGetVersion,*&VersionInformation
IFEX #%&ret%<>0,EXIT
TEAM ENVI?int &VersionInformation=&MajorVersion:4| ENVI?int &VersionInformation=&MinorVersion:8| ENVI?int &VersionInformation=&BuildNumber:12
ENVI-ret %~1=%MajorVersion%
ENVI-ret %~2=%MinorVersion%
ENVI-ret %~3=%BuildNumber%
_END
;参数同上
_SUB GetNTVersion
TEAM ENVI-long &pMajorVersion=0| ENVI-long &pMinorVersion=0| ENVI-long &pBuildNumber=0
CALL $--qd --ret:&ret ntdll.dll,RtlGetNtVersionNumbers,*&pMajorVersion,*&pMinorVersion,*&pBuildNumber
IFEX #%&ret%=0,EXIT
TEAM ENVI?int &pMajorVersion=&MajorVersion| ENVI?int &pMinorVersion=&MinorVersion| ENVI?int &pBuildNumber=&BuildNumber
CALC #&BuildNumber = %&BuildNumber% & 0xFFFF
ENVI-ret %~1=%MajorVersion%
ENVI-ret %~2=%MinorVersion%
ENVI-ret %~3=%BuildNumber%
_END
;示例
RtlGetVersion &MajorVersion &MinorVersion &BuildNumber
MESS %&MajorVersion%\n%&MinorVersion%\n%&BuildNumber%
GetNTVersion &MajorVersion &MinorVersion &BuildNumber
MESS %&MajorVersion%\n%&MinorVersion%\n%&BuildNumber%

复制代码

PS: RtlGetNtVersionNumbers 为非公开函数, 且支持系统版本范围为 NT5.1+; 感谢 wintoflash 老大解释如何获取正确的 BuildNumber 值

yyz2191958 · 发表于 2026-1-17 20:19:24

技术贴支持

Bluebells · 发表于 2026-1-17 20:27:20

本帖最后由 Bluebells 于 2026-8-31 20:33 编辑

;获取计算机名称, 仅一个参数, 用于存放返回的计算机名称
_SUB GetComputerName
ENVI-int &pnSize=0
CALL $--qd --ret:&ret Kernel32.dll,GetComputerNameW,#0,*&pnSize
ENVI?int &pnSize=&nSize
IFEX #%&nSize%=0,EXIT _SUB
ENVI$ &lpBuffer=*%&nSize% 0
CALL $--qd --ret:&&ret Kernel32.dll,GetComputerNameW,*&lpBuffer,*&pnSize
IFEX #%&ret%=0,EXIT _SUB
ENVI-ret %~1=%&lpBuffer%
_END
;获取系统当前登录用户名, 仅一个参数, 用于存放返回的当前登录用户名
_SUB GetUserName
ENVI-int &pcbBuffer=0
CALL $--qd --ret:&ret Advapi32.dll,GetUserNameW,#0,*&pcbBuffer
ENVI?int &pcbBuffer=&cbBuffer
IFEX #%&cbBuffer%=0,EXIT _SUB
ENVI$ &lpBuffer=*%&cbBuffer% 0
CALL $--qd --ret:&ret Advapi32.dll,GetUserNameW,*&lpBuffer,*&pcbBuffer
IFEX #%&ret%=0,EXIT _SUB
ENVI-ret %~1=%&lpBuffer%
_END
;获取 Windows 系统产品名称, 仅一个参数, 用于存放返回的产品名称
_SUB GetProductName
CALL $--qd --ret:&ret winbrand.dll,BrandingFormatString,$%WINDOWS_LONG%
IFEX #%&ret%>0,TEAM ENVI-mkfixdummy &ProductName=%&ret%| CALL $--qd Kernel32.dll,GlobalFree,#%&ret%
ENVI-ret %~1=%&ProductName%
_END
;调用示例
GetComputerName &ComputerName
GetUserName &UserName
GetProductName &ProductName
MESS 计算机名称: %&ComputerName%\n\n用户名: %&UserName%\n\n产品名称: %&ProductName%

复制代码

handsome_xiang · 发表于 2026-1-17 21:05:17

感谢分享！

没想到 · 发表于 2026-1-17 21:22:06

谢谢分享

张小仙 · 发表于 2026-1-18 00:26:16

学习一下。

Bluebells · 发表于 2026-1-18 19:51:44

本帖最后由 Bluebells 于 2026-5-3 14:13 编辑

获取系统(启动)分区

_SUB GetBootDevice
IFEX #%&bX64%=3, ENVI &PtrSz=8! ENVI &PtrSz=4
CALC #&Sz=%&PtrSz% * 2
CALC #&SzA=%&Sz% + 8192
ENVI$# &retName=*%&SzA% 0 *32 0
ENVI-mkdummy &Nm=&retName@%&Sz%;8192
CALL $--qd --ret:&ret Ntdll.dll,NtQuerySystemInformation,#98,*&retName,#%&SzA%,#0
IFEX #%&ret%=0,ENVI-ret %~1=%&Nm%
_END
;示例
GetBootDevice &BootDevice
MESS %&BootDevice%

复制代码

PS: 此代码摘自 mdyblog 老大的 PECMD 的示例代码, 且返回信息为 dos 设备路径

Bluebells · 发表于 2026-1-18 19:56:01

本帖最后由 Bluebells 于 2026-5-3 14:13 编辑

获取系统当前启动方式

_SUB GetSystemBootEnvironmentInformation
ENVI &SystemBootEnvironmentInformation=90
ENVI$# &pBuffer=*16 0 *4 0 *8 0
CALL $--qd --ret:&ret Ntdll.dll,NtQuerySystemInformation,#%&SystemBootEnvironmentInformation%,*&pBuffer,#32,#0
IFEX #%&ret%=0,
{*
ENVI?int pBuffer=&&FirmwareType:16
IFEX #%&FirmwareType%=0,ENVI-ret %~1=Unknown
IFEX #%&FirmwareType%=1,ENVI-ret %~1=BIOS
IFEX #%&FirmwareType%=2,ENVI-ret %~1=UEFI
IFEX #%&FirmwareType%=3,ENVI-ret %~1=Unknown
}! ENVI-ret %~1=Unknown
_END
;示例
GetSystemBootEnvironmentInformation &BootEnvironment
MESS %&BootEnvironment%

复制代码

PS: 一些人根据磁盘的分区样式去判断启动方式是非常不正确的

Bluebells · 发表于 2026-1-18 20:09:55

本帖最后由 Bluebells 于 2026-8-31 20:41 编辑

获取 Windows, System 和 Temp 目录

//获取 Windows 目录路径
CALL $--qd --ret:&ret Kernel32.dll,GetWindowsDirectoryW,#0,#0
ENVI$ &lpBuffer=*%&ret% 0 //根据上一个函数调用的返回值获取 &&lpBuffer 指针的大小以节省内存
CALL $--qd --ret:&ret Kernel32.dll,GetWindowsDirectoryW,*&lpBuffer,#%&ret%
MESS %&lpBuffer%
//另一获取当前系统根目录路径(需 Win10RS2+)
CALL $--qd --ret:&ret ntdll.dll,RtlGetNtSystemRoot
IFEX #%&ret%>0,
{
ENVI-mkfixdummy &SR=%&ret%
MESS %&SR%
}
//获取 System 目录路径
CALL $--qd --ret:&ret Kernel32.dll,GetSystemDirectoryW,#0,#0
ENVI$ &lpBuffer=*%&ret% 0 //根据上一个函数调用的返回值获取 &&lpBuffer 指针的大小以节省内存
CALL $--qd --ret:&ret Kernel32.dll,GetSystemDirectoryW,*&lpBuffer,#%&ret%
MESS %&lpBuffer%
//获取临时目录路径
CALL $--qd --ret:&ret Kernel32.dll,GetTempPathW,#0,#0
ENVI$ &lpBuffer=*%&ret% 0 //根据上一个函数调用的返回值获取 &&lpBuffer 指针的大小以节省内存
CALL $--qd --ret:&ret Kernel32.dll,GetTempPathW,#%&ret%,*&lpBuffer
MESS %&lpBuffer%

复制代码

PS: 也许有人说, 为啥不直接用环境变量, 正所谓萝卜青菜，各有所爱

Bluebells · 发表于 2026-1-18 20:43:01

本帖最后由 Bluebells 于 2026-5-3 14:16 编辑

获取当前安全启动状态

;此方法仅支持NT6.2及以上版本, 此函数还能查询目标机器是否支持安全启动功能
_SUB GetSystemSecureBootInformation
ENVI$ &SSBI=*1 0 *1 0
CALL $--qd --ret:&ret ntdll.dll,NtQuerySystemInformation,#145,*&SSBI,#2,#0
IFEX #%&ret%<>0,TEAM ENVI-ret %~1=Unknown| EXIT _SUB
ENVI?char &SSBI=&SecureBootEnabled
;ENVI?char &SSBI=&SecureBootCapable:1
IFEX #%&SecureBootEnabled%=0,ENVI-ret %~1=Disabled! ENVI-ret %~1=Enabled
_END
;示例
GetSystemSecureBootInformation &SecureBoot
MESS %&SecureBoot%

复制代码

PS: 在 64 位操作系统下必须使用 64 位版本的 PECMD 才能正确调用此函数

ebaqiang · 发表于 2026-1-19 08:21:53

等热心人来

fegr · 发表于 2026-1-19 13:17:36

感谢分享

win82 · 发表于 2026-1-21 13:30:07

学习一下

Bluebells · 发表于 2026-8-31 20:45:28

一些路径处理函数的调用示例

//去除路径末尾的反斜杠符号
ENVI &pszPath=C:\Windows\System32\Config\
CALL $--qd --ret:&ret Shlwapi.dll,PathRemoveBackslashW,*&pszPath
MESS %&pszPath%
//返回目标路径后面的第一个反斜杠部分
ENVI &LPCWSTR=C:\Windows\System32\cmd.exe
CALL $--qd --ret:&ret Shlwapi.dll,PathFindNextComponentW,*&LPCWSTR
ENVI-mkdummy &pszPath=%&ret%
MESS %&pszPath%
//当目标路径存在空格时将为该路径添加引导
ENVI$ &lpsz=*260 0
ENVI &String=G:\Ys Memories of Celceta\puzzle\pz1prts1.itp
ENVI-copy &lpsz=&String;0
CALL $--qd --ret:&ret Shlwapi.dll,PathQuoteSpacesW,*&lpsz
IFEX #%&ret%=1,MESS %&lpsz%

复制代码

PS: 感谢 527104427 的指导

Bluebells · 发表于 2026-8-31 20:46:45

判断计算机是否已加入工作组或域示例

TEAM ENVI-ptr &lpNameBuffer=0| ENVI-int &BufferType=0
CALL $--qd --ret:&ret Netapi32.dll,NetGetJoinInformation,#0,*&lpNameBuffer,*&BufferType
IFEX #%&ret%=0,
{
TEAM ENVI?ptr &lpNameBuffer=&pNameBuffer| ENVI?int &BufferType=&Join_Status
ENVI-mkfixdummy &NameBuffer=%&pNameBuffer%
IFEX $%&Join_Status%=0,MESS 加入状态未知。@JOIN_STATUS#OK
IFEX $%&Join_Status%=1,MESS 计算机未加入任何域或工作组。@JOIN_STATUS#OK
IFEX $%&Join_Status%=2,MESS 计算机加入了一个工作组。\n%&NameBuffer%@JOIN_STATUS#OK
IFEX $%&Join_Status%=3,MESS 计算机加入了一个域。@JOIN_STATUS#OK
CALL $--qd --ret:&ret Netapi32.dll,NetApiBufferFree,#%&pNameBuffer%
}

复制代码

Bluebells · 发表于 2026-8-31 20:48:43

查看 VHD 启动信息

_SUB GetVhdBootInformation
TEAM ENVI$ &NL=0d 0a| ENVI$# &Buffer=*265 0
CALL $--qd --ret:&ret Ntdll.dll,NtQuerySystemInformation,#112,*&Buffer,#265,#0
IFEX #%&ret%=0,
{
ENVI?char &Buffer=&OsDiskIsVhd
IFEX #%&OsDiskIsVhd%=0,MESS 当前系统非 VHD 启动!
{
ENVI?int &Buffer=&Offset:4
ENVI-mkfixdummy &Root=&Buffer@8
ENVI-mkfixdummy &ParentVolume=&Buffer@%&Offset%
MESS 当前系统以 VHD 启动%&NL%VHD 映像根路径: %&Root%%&NL%VHD 父卷文件路径: %&ParentVolume%
}
}
_END
CALL GetVhdBootInformation

复制代码

2011chenrongbo · 发表于 2026-8-31 20:51:00

感谢分享

		自动登录	找回密码
密码			注册

[讨论] 一些 PECMD 封装函数和调用 WinApi 示例代码