创造世界，首先要毁灭世界，然后才能创造。
                                                          ——神。

介绍一个比较高级的API：高版本的系统里在ntdll里导出。

typedef NTSTATUS (NTAPI *_ZwCreateThreadEx)(
        OUT PHANDLE ThreadHandle,
        IN ACCESS_MASK DesiredAccess,
        IN POBJECT_ATTRIBUTES ObjectAttributes OPTIONAL,
        IN HANDLE ProcessHandle,
        IN PTHREAD_START_ROUTINE StartRoutine,
        IN PVOID StartContext,
        IN ULONG CreateThreadFlags,
        IN SIZE_T ZeroBits OPTIONAL,
        IN SIZE_T StackSize OPTIONAL,
        IN SIZE_T MaximumStackSize OPTIONAL,
        IN PPROC_THREAD_ATTRIBUTE_LIST AttributeList
        );

这里不关心其他参数的使用，只关心绿色的flags参数.
当这个参数不是0的时候，我的系统上线程总是会创建后立刻暂停，所以使用该参数为其他值的时候，需要使用ResumeThread让线程跑起来。

因为类型是ULONG,所以参数CreateThreadFlags除了让线程停止之外应该具有其他功能。
用IDA把目光瞄准内核代码，发现这个参数会影响ETHREAD中的一些东西，
恰巧的是传入值为2的时候，可以绕过DLL_ATTACH_THREAD,大家都懂得。
另外就是传入值为4的时候，貌似OD里对这个线程里的代码下断会飞，似乎是hidefromdbgger的功能。
8的时候，没测试出东西来，不过flags最大就是0xF,再大就创建线程失败了。

来自互联网，归还于互联网。

PS:最后来个小广告吧。

培训进行第二期招生了，第一期已经顺利开班了。

IGS承诺即使只有一个学员报名，我们也会如期开班。

详情欢迎访问网站：
http://www.tigso.com/

[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)