-
-
[求助]求指点 PsGetContextThread和Set函数的一些问题
-
发表于: 2013-5-1 14:01
-
RT
我在线程启动之前HOOK
目前可以保证这个线程在Resume之前我可以进行操作
我执行PsGetContextThread 获取CONTEXT
按理说EAX应该就是线程执行的起始点了。
但是我DBGPRINT 输出的eax是0x8..........
何解？
我刚才又测试了一下 看了下返回的NTSTATUS 是 C0000005 STATUS_ACCESS_VIOLATION
难道是需要初始化一下CONTEXT结构么？
/***********PS:这个问题解决了。。。
还有就是PsSetContextThread没有导出
这个函数不在Ntdll里面，怎么获取这个函数捏？
*************/
PS：环境 WIN7SP1
我在线程启动之前HOOK
目前可以保证这个线程在Resume之前我可以进行操作
我执行PsGetContextThread 获取CONTEXT
按理说EAX应该就是线程执行的起始点了。
但是我DBGPRINT 输出的eax是0x8..........
何解？
我刚才又测试了一下 看了下返回的NTSTATUS 是 C0000005 STATUS_ACCESS_VIOLATION
难道是需要初始化一下CONTEXT结构么？
/***********PS:这个问题解决了。。。
还有就是PsSetContextThread没有导出
这个函数不在Ntdll里面，怎么获取这个函数捏？
*************/
PS：环境 WIN7SP1
[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)
|
|
|---|---|
|
|
|
|
|
|
|
|
兄弟，啥错误倒是说一下啊 |
|
|
|
|
|
新创建的线程，创建者指定的ThreadRoutine不是在一开始就调用的，而是在线程初始化函数（比如用户态的BaseThreadStartThunk）里调用。传值通过寄存器，比如在x86下是这样： Context->Eax = (ULONG)InitialPc; Context->Ebx = (ULONG)Parameter; |
