NTAPI枚举指定进程中指定模块创建的线程

最新推荐文章于 2020-08-15 21:45:28 发布

RLib

最新推荐文章于 2020-08-15 21:45:28 发布

阅读量3.5w

点赞数 1

分类专栏： C/C++ Windows 内核驱动文章标签： c++

本文链接：https://blog.csdn.net/rrrfff/article/details/43089141

版权

本文介绍了一种通过NTAPI来枚举指定进程中由特定模块创建的线程的方法，涉及到线程和模块地址的关系判断，以及在不同环境下的线程起始地址获取。代码示例中，首先调用NtQuerySystemInformation获取系统进程信息，然后遍历找到目标进程及其线程，最后使用KiOpenThread和NtQueryInformationThread等函数判断线程是否在模块范围内。

摘要由CSDN通过智能技术生成

代码示例了如何使用API枚举指定进程中指定模块创建的线程, 注意该方案存在一定局限性, 就是模块的起始地址和线程起始地址之间的关系无法保证, 可能存在漏掉的.

static HANDLE KiOpenThread(ACCESS_MASK dwDesiredAccess, BOOL bInheritHandle, HANDLE dwThreadId)
{
	OBJECT_ATTRIBUTES ObjectAttributes;
	InitializeObjectAttributes(&ObjectAttributes, NULL, 0, NULL, NULL);
	if (bInheritHandle)
		ObjectAttributes.Attributes = OBJ_INHERIT;

	CLIENT_ID ClientId;
	ClientId.UniqueProcess = NULL;
	ClientId.UniqueThread  = dwThreadId;

	HANDLE hThread = NULL;
	NtOpenThread(&hThread, dwDesiredAccess, &ObjectAttributes, &ClientId);
	return hThread;
}

//-------------------------------------------------------------------------

/// <summary>
/// NTAPI枚举指定进程中指定模块创建的线程
/// </summary>
/// <param name="HANDLE dwProcessId"></param>
/// <param name="LPBYTE lpStart">模块开始地址, 可用 GetModuleInformation 等取得</param>
/// <param