ExQueueWorkItem 引发的小几率蓝屏-软件逆向-看雪-安全社区|安全招聘|kanxue.com

ExQueueWorkItem 引发的小几率蓝屏

发表于: 2023-4-22 03:16 6642

ExQueueWorkItem 引发的小几率蓝屏

逍遥m

2023-4-22 03:16

6642

VOID WINAPI WorkerThreadRoutineCope(_In_ PVOID Parameter)
{
    WORK_CALL_ITEM lpCallItem;
    memcpy(&lpCallItem, Parameter, sizeof(lpCallItem));
    ExFreePool(Parameter);//这个释放内存很关键,如果太快释放那么蓝屏
 
    lpCallItem.Routine(lpCallItem.Context);
 
 
}
void ExWorkItemCode(_In_opt_ PWORKER_THREAD_ROUTINE Routine, _In_opt_ PVOID Context, _In_opt_ WORK_QUEUE_TYPE QueueType)
{
    NT_ASSERT(KeGetCurrentIrql() <= DISPATCH_LEVEL);
 
    PWORK_CALL_ITEM lpCallQueue = (PWORK_CALL_ITEM)ExAllocatePool(NonPagedPool, sizeof(WORK_CALL_ITEM));
    lpCallQueue->Context = Context;
    lpCallQueue->Routine = Routine;
    ExInitializeWorkItem(&lpCallQueue->Queue, WorkerThreadRoutineCope, lpCallQueue);
    ExQueueWorkItem(&lpCallQueue->Queue, QueueType);
}

如上所述如果回调执行 lpCallItem.Routine 执行的比较慢（慢到什么程度？大概几十毫秒吧）
并且WORK_QUEUE_ITEM 被释放,那么将小概率蓝屏。执行到不可控位置。

[招生]系统0day安全班，企业级设备固件漏洞挖掘，Linux平台漏洞挖掘！

#系统底层

收藏・3

免费・0

支持

最新回复 (5)
绿色玩家999 雪币： 56 能力值： ( LV1，RANK：0 ) 在线值：发帖 1 回帖 32 粉丝 7 关注私信	绿色玩家999 2 楼微软调用ExQueueWorkItem后都会等待事件，这个事件在你的回调里setevent。倒是没见过微软在回调里释放WORK_QUEUE_ITEM的写法。 2023-4-22 10:31 0
逍遥m 雪币： 2377 活跃值： (3957) 能力值： ( LV3，RANK：25 ) 在线值：发帖 17 回帖 47 粉丝 44 关注私信	逍遥m 3 楼绿色玩家999 微软调用ExQueueWorkItem后都会等待事件，这个事件在你的回调里setevent。倒是没见过微软在回调里释放WORK_QUEUE_ITEM的写法。[em_79] 是的看过了 WORK_QUEUE_ITEM 内存会被多次访问显然是内核没有做这方面的东西,这块内存被占用如果释放有概率执行二次执行到未知位置,排查原因很麻烦 2023-4-22 22:29 0
绿色玩家999 雪币： 56 能力值： ( LV1，RANK：0 ) 在线值：发帖 1 回帖 32 粉丝 7 关注私信	绿色玩家999 4 楼逍遥m 是的看过了 WORK_QUEUE_ITEM 内存会被多次访问显然是内核没有做这方面的东西,这块内存被占用如果释放有概率执行二次执行到未知位置,排查原因很麻烦微软文档里不推荐我们用这个函数是有原因的 2023-4-22 22:35 0
逍遥m 雪币： 2377 活跃值： (3957) 能力值： ( LV3，RANK：25 ) 在线值：发帖 17 回帖 47 粉丝 44 关注私信	逍遥m 5 楼绿色玩家999 微软文档里不推荐我们用这个函数是有原因的[em_19] 目前而言没有找到更好替代的函数,主要还是这个函数方便 2023-4-23 00:19 0
syser 雪币： 3712 活跃值： (4896) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 232 粉丝 8 关注私信	syser 6 楼不能这样释放,得自己写个垃圾回收机制 2023-4-23 00:40 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

逍遥m

发帖

回帖

RANK

关注

私信

他的文章

关于我们

联系我们

企业服务

看雪公众号

最新回复 (5)
绿色玩家999 雪币： 56 能力值： ( LV1，RANK：0 ) 在线值：发帖 1 回帖 32 粉丝 7 关注私信	绿色玩家999 2 楼微软调用ExQueueWorkItem后都会等待事件，这个事件在你的回调里setevent。倒是没见过微软在回调里释放WORK_QUEUE_ITEM的写法。 2023-4-22 10:31 0
逍遥m 雪币： 2377 活跃值： (3957) 能力值： ( LV3，RANK：25 ) 在线值：发帖 17 回帖 47 粉丝 44 关注私信	逍遥m 3 楼绿色玩家999 微软调用ExQueueWorkItem后都会等待事件，这个事件在你的回调里setevent。倒是没见过微软在回调里释放WORK_QUEUE_ITEM的写法。[em_79] 是的看过了 WORK_QUEUE_ITEM 内存会被多次访问显然是内核没有做这方面的东西,这块内存被占用如果释放有概率执行二次执行到未知位置,排查原因很麻烦 2023-4-22 22:29 0
绿色玩家999 雪币： 56 能力值： ( LV1，RANK：0 ) 在线值：发帖 1 回帖 32 粉丝 7 关注私信	绿色玩家999 4 楼逍遥m 是的看过了 WORK_QUEUE_ITEM 内存会被多次访问显然是内核没有做这方面的东西,这块内存被占用如果释放有概率执行二次执行到未知位置,排查原因很麻烦微软文档里不推荐我们用这个函数是有原因的 2023-4-22 22:35 0
逍遥m 雪币： 2377 活跃值： (3957) 能力值： ( LV3，RANK：25 ) 在线值：发帖 17 回帖 47 粉丝 44 关注私信	逍遥m 5 楼绿色玩家999 微软文档里不推荐我们用这个函数是有原因的[em_19] 目前而言没有找到更好替代的函数,主要还是这个函数方便 2023-4-23 00:19 0
syser 雪币： 3712 活跃值： (4896) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 232 粉丝 8 关注私信	syser 6 楼不能这样释放,得自己写个垃圾回收机制 2023-4-23 00:40 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复