-
-
[求助]ZwQuerySystemInformation使用5号功能查询出来的线程起始地址不是真的?
-
发表于:
2013-10-21 08:15
6740
-
[求助]ZwQuerySystemInformation使用5号功能查询出来的线程起始地址不是真的?
查询出来是这样一个结构体
typedef struct _SYSTEM_THREADS
{
LARGE_INTEGER KernelTime;
LARGE_INTEGER UserTime;
LARGE_INTEGER CreateTime;
ULONG WaitTime;
PVOID StartAddress;
CLIENT_ID ClientId;
KPRIORITY Priority;
KPRIORITY BasePriority;
ULONG ContextSwitchCount;
THREAD_STATE State;
KWAIT_REASON WaitReason;
} SYSTEM_THREADS, *PSYSTEM_THREADS;
遍历了一下,PID是对的,但是StartAddress是0x7xxxxxx,XT是0x4xxxxx,差距有点大,
这个难道不是线程的入口地址?
另外我搜索论坛使用了方法ZwQueryInformationThread是可以获取到跟XT一样的入口地址,
但是对某些进程,例如csrss.exe的进程,只能找到PID,返回地址是0,而且错误码是0.
PS:都是应用层操作
[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入!