能力值：
( LV8，RANK：130 )
|
-
-
2 楼
r0 or r3?
in r0 you can access (struct)ETHREAD.StartAddress.
|
能力值：
( LV2，RANK：10 )
|
-
-
3 楼
帮顶一下，期待高手回答
|
能力值：
![]()
(RANK：170 )
|
-
-
4 楼
看看dbghelp里面，process explorer使用的这个里面的一些结构
如MINIDUMP_THREAD等应该有用，我没有细看进去
|
能力值：
( LV2，RANK：10 )
|
-
-
5 楼
我不懂……有人说context的eip就是，但是不是。
|
能力值：
( LV2，RANK：10 )
|
-
-
6 楼
如何编写ring0程序呢，难道要驱动不成？？？
|
能力值：
( LV2，RANK：10 )
|
-
-
7 楼
4楼的兄弟，那个结构只有定义，但是用什么函数呢？
|
能力值：
( LV8，RANK：130 )
|
-
-
8 楼
写一个简单的驱动
|
能力值：
( LV2，RANK：10 )
|
-
-
9 楼
不会写驱动……能不能指点一下？谢谢了！
|
能力值：
( LV8，RANK：130 )
|
-
-
10 楼
直接用EasySYS生成一个
用ObReferenceObjectByHandle把hThread转换成PETHREAD，然后读ETHREAD.StartAddress(恐怕得硬编码StartAddress在ETHREAD结构中的偏移，因为ETHREAD结构在ntddk.h中没有)。 网上入门教程很多
|
能力值：
![]()
(RANK：650 )
|
-
-
11 楼
ZwQueryInformationThread(hThread, 9, ...)
|
能力值：
( LV8，RANK：130 )
|
-
-
12 楼
汗。。没仔细看ntpsapi.h 是偶菜了>.<
typedef enum _THREADINFOCLASS {
ThreadBasicInformation,
ThreadTimes,
ThreadPriority,
ThreadBasePriority,
ThreadAffinityMask,
ThreadImpersonationToken,
ThreadDescriptorTableEntry,
ThreadEnableAlignmentFaultFixup,
ThreadEventPair_Reusable,
ThreadQuerySetWin32StartAddress,
ThreadZeroTlsCell,
ThreadPerformanceCount,
ThreadAmILastThread,
ThreadIdealProcessor,
ThreadPriorityBoost,
ThreadSetTlsArrayAddress,
ThreadIsIoPending,
ThreadHideFromDebugger,
ThreadBreakOnTermination,
ThreadSwitchLegacyState,
ThreadIsTerminated,
MaxThreadInfoClass
} THREADINFOCLASS;
// end_ntddk end_ntifs
就如#11所说
直接用ZwQueryInformationThread的9号调用
|
|
|
|
