-
-
[求助]ZwQuerySystemInformation使用5号功能查询出来的线程起始地址不是真的？
-
发表于: 2013-10-21 08:15
-
查询出来是这样一个结构体
typedef struct _SYSTEM_THREADS
{
LARGE_INTEGER KernelTime;
LARGE_INTEGER UserTime;
LARGE_INTEGER CreateTime;
ULONG WaitTime;
PVOID StartAddress;
CLIENT_ID ClientId;
KPRIORITY Priority;
KPRIORITY BasePriority;
ULONG ContextSwitchCount;
THREAD_STATE State;
KWAIT_REASON WaitReason;
} SYSTEM_THREADS, *PSYSTEM_THREADS;
遍历了一下，PID是对的，但是StartAddress是0x7xxxxxx，XT是0x4xxxxx,差距有点大，
这个难道不是线程的入口地址？
另外我搜索论坛使用了方法ZwQueryInformationThread是可以获取到跟XT一样的入口地址，
但是对某些进程，例如csrss.exe的进程，只能找到PID，返回地址是0，而且错误码是0.
PS：都是应用层操作
typedef struct _SYSTEM_THREADS
{
LARGE_INTEGER KernelTime;
LARGE_INTEGER UserTime;
LARGE_INTEGER CreateTime;
ULONG WaitTime;
PVOID StartAddress;
CLIENT_ID ClientId;
KPRIORITY Priority;
KPRIORITY BasePriority;
ULONG ContextSwitchCount;
THREAD_STATE State;
KWAIT_REASON WaitReason;
} SYSTEM_THREADS, *PSYSTEM_THREADS;
遍历了一下，PID是对的，但是StartAddress是0x7xxxxxx，XT是0x4xxxxx,差距有点大，
这个难道不是线程的入口地址？
另外我搜索论坛使用了方法ZwQueryInformationThread是可以获取到跟XT一样的入口地址，
但是对某些进程，例如csrss.exe的进程，只能找到PID，返回地址是0，而且错误码是0.
PS：都是应用层操作
[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
学习了，但是很不幸我是XP SP3 虚拟机，估计也是RtlUserThreadStart的地址吧。
那下面的问题是XP用ZwQueryInformationThread为什么有的进程查询出来的地址是0，有的进程可以正确查到。。 不知道XT是如何实现，感觉是R0搞定的？ 
|
