1、分析Win10 64位CreateRemoteThread具体流程。
  2、分析为什么无法直接在系统进程中创建远程线程。

通过分析整个函数调用流程可以得到这么几个结果：
  1、创建远程线程和普通线程没有本质的区别，其调用的函数都是相同的，唯一的区别就是在进程句柄上，进程句柄为-1是创建普通线程。调用的函数根据这个区别就可以对两种线程分别处理了。
  2、在用户模式下执行的代码主要还是为了在进入内核模式前准备所需的各种信息参数。在内核模式中的代码最为重要，是完成线程创建的关键代码。
  3、在CreateRemoteThead调用的整个流程中没有对系统进程进行权限的检查，所以可以认为权限检查的关键代码在OpenProcess中。如果需要在系统进程中创建远程线程就必须在获取进程句柄前进行提权处理。提权方案：

​

​

  通过WinDbg查看函数CreateRemoteThead在用户模式下的调用流程，观察这个调用情况可以确定在用户模式下，这个函数涉及到了三个dll模块（KERNEL32、KERNELBASE、ntdll）。而CreateRemoteThead这个API在KERNEL32模块中真正的函数名是CreateRemoteThreadStub，通过这个KERNEL32中的CreateRemoteThreadStubAPI将参数转发到KERNELBASE模块中的CreateRemoteThreadEx中，然后在KERNELBASE中调用ntdll模块中的NtCreateThreadExAPI，进入内核。待内核处理结束后获取返回值，进行返回值的处理并返回结果。 ​

  用户调用CreateRemoteThreadAPI后，会进入KERNEL32模块中的CreateRemoteThreadStub，参数相同，而CreateRemoteThreadStub则会对CreateRemoteThread的参数进行一些处理，由原来的7个参数扩展到了8个参数，并且对dwCreationFlags参数进行了一些安全处理，规避了系统规定参数外的无效参数。然后将参数转发到KERNELBASE模块。

  这个API主要是为了给内核模式准备所需的参数的，所以这是执行CreateRemoteThread在用户模式下的最后一个API，然后就会调用ntdll模块中的NtCreateThreadEx进入内核模式执行内核代码，待内核代码执行完成后，将执行结果返回给用户模式，CreateRemoteThread就会获取执行结果，并将结果处理完毕后一层一层的返回给调用者。 ​

  从以下代码可以看出，在进入内核前需要判断标志位(地址：ds:7FFE0308h)，如果最低位为1则使用syscall指令进入内核，否则使用int 2Eh中断进入内核。至于这个地址具体是干什么的待日后分析。从程序的执行流程可以知道，我们进入内核使用的是syscall。

  当程序进入内核模式后，使用三环的调试器就会跑飞，完全不知道程序执行到了哪里，这时就需要使用WinDbg使用内核模式进行调试了。知道程序在内核中一定会进入NT模块下的NtCreateThreadEx内核函数，所以只需要在这里下进程断点等待调用就行。调用后就会得到该内核函数的调用栈，知道他进入内核都经过了哪些系统调用。盲猜nt!KiSystemServiceCopyEnd一定就是系统的分发函数了。
  以下就是该函数的调用栈：

   可以清楚的看出从用户模式到内核模式的全过程： ​

  在nt模块下查找KiSystemServiceCopyEnd这个内核函数时发现，这根本不是一个函数名，而是一个地址标签，是在一个叫nt!KiSystemCall64的内核函数中的地址标签。再看这个函数的调用方式是一个call寄存器的方式，也就说明rax寄存器是一个存放NtCreateThreadEx地址的寄存器，该值需要在KiSystemCall64中提前计算好才能使用，调用后就会成功进入目标内核函数。

   在调用rax之前还有一段代码看起来像是在拷贝函数的栈空间，而且拷贝了14个，盲猜系统内核函数最大的参数数也就是14个参数了，这也就清楚为什么这个地址叫系统服务拷贝了。

  这个函数因为内核功底基本没有，所以只能大概分析。首先检查参数判断是否是有效参数，然后判断线程句柄是否在一个正确的区间内，如果不在就修改句柄值。之后就是准备线程的上下文环境，通过句柄和tag获取线程对象。最后就是调用PspCreateThread开始正式创建线程。待结果返回后释放资源。 总的来说这个函数就是在内核模式为创建进程准备需要用到的参数，没有实际的功能。真正的创建是在PspCreateThread中，从该函数的前两个字母前缀就可以知道这个内核函数属性进程相关的内核函数。

  在内核中进入了创建线程的关键节点，内核代码也越来越费解了，因此只能对这个内核函数进行一些合理的猜想假设。通过函数名获取了一些信息，可以知道操作线程需要上锁进行安全保护，线程中还有临界区保护。线程的存储结构是一个图，在分配线程后需要插入图完成创建。该内核函数调用了一个疑似处理远程线程的内核函数，但分析参数可以确定该参数不是一个变量而是而是一个常量，是通过上层函数传入的0得来的。所以可以暂时确定他没有对远程线程进行有效处理。如果需要确定还得继续学习内核知识。目前可以猜测在内核模式是不区分远程线程的，远程线程只是在用户模式的概念。

  如果要验证普通进程和远程在内核中没有区别，就必须知道Kernel32模块是如何处理的，于是将IDA定位到Kernel32模块的CreateThreadStubAPI，然而让我震惊的一幕出现了：

我的猜想是这样的：

结果它是这样的：

  这么看来前面有些代码的分析就会出现不小的偏差，创建远程线程与创建普通线程最本质的区别是进入KERNEL32!CreateRemoteThreadStub时的进程句柄有明显的区别，远程线程的进程句柄是正常的，而普通线程的进程句柄是-1。浏览上面的分析发现，不管是在用户模式还是在内核模式都对远程线程与普通线程的创建进行了区别处理。微软取名字的水平真会误导人啊。具体是怎么处理的还需要进一步的学习内核基础知识。 ​

  当我们发现创建远程线程与普通线程这一点区别后，是否可以这么做？使用CreateRemoteThread去创建普通线程，这其实很简单，只需要将进程句柄传为-1即可。说干就干，上代码：

运行结果如下：

果然可以！

  本文的分析完全是个人在科锐学习期间的项目，不具有权威性。由于是刚开始接触内核编程不久，对内核的对象、句柄、权限一无所知。大部分分析结果可能与实际情况有着不小的偏差，待以后补充完相关知识再做修改，文中的错误也希望各路内核大佬多多指出，必定会做出改正。
  分析Windows内核实在是没有足够的资料进行学习，这里也希望大佬们指点下学习方法。

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课