驱动开发之 创建线程函数PsCreateSystemThread

最新推荐文章于 2018-11-19 01:04:27 发布
最新推荐文章于 2018-11-19 01:04:27 发布
阅读量178 收藏 1
点赞数
文章标签： 驱动开发
原文链接：http://www.cnblogs.com/kuangke/p/5597052.html
版权

PsCreateSystemThread 创建一个执行在内核模式的系统线程。

注意：创建线程必须用函数PsTerminateSystemThread强制线程结束。否则该线程是无法自动退出的。

函数原型：

 

[cpp] view plain copy
print ? 在CODE上查看代码片 派生到我的代码片
  1. NTSTATUS PsCreateSystemThread(  
  2.   _Out_      PHANDLE ThreadHandle,  
  3.   _In_       ULONG DesiredAccess,  
  4.   _In_opt_   POBJECT_ATTRIBUTES ObjectAttributes,  
  5.   _In_opt_   HANDLE ProcessHandle,  
  6.   _Out_opt_  PCLIENT_ID ClientId,  
  7.   _In_       PKSTART_ROUTINE StartRoutine,  
  8.   _In_opt_   PVOID StartContext  
  9. );  
[cpp] view plain copy
print ? 在CODE上查看代码片 派生到我的代码片
  1. NTSTATUS PsCreateSystemThread(  
  2.   _Out_      PHANDLE ThreadHandle,  
  3.   _In_       ULONG DesiredAccess,  
  4.   _In_opt_   POBJECT_ATTRIBUTES ObjectAttributes,  
  5.   _In_opt_   HANDLE ProcessHandle,  
  6.   _Out_opt_  PCLIENT_ID ClientId,  
  7.   _In_       PKSTART_ROUTINE StartRoutine,  
  8.   _In_opt_   PVOID StartContext  
  9. );  
NTSTATUS PsCreateSystemThread(
  _Out_      PHANDLE ThreadHandle,
  _In_       ULONG DesiredAccess,
  _In_opt_   POBJECT_ATTRIBUTES ObjectAttributes,
  _In_opt_   HANDLE ProcessHandle,
  _Out_opt_  PCLIENT_ID ClientId,
  _In_       PKSTART_ROUTINE StartRoutine,
  _In_opt_   PVOID StartContext
);

 


参数说明

ThreadHandle [out]

         返回的handle。当此handle不再使用时，调用ZwClose关闭。对于windows vista以及以后版本，这个handle是一个内核句柄。

DesiredAccess [in]

         ACCESS_MASK值，创建的权限。一般取THREAD_ALL_ACCESS。

ObjectAttributes [in, optional]

         线程属性，一般设为null。

ProcessHandle [in, optional]

         线程所在地址空间的进程的handle。对于驱动线程，通常设为NULL。也可以设为NtCurrentProcess()指定为当前进程。

ClientId [out, optional]

         对于驱动线程设为null。

StartRoutine [in]

         函数指针，创建的系统线程的入口指针。此函数接受一个参数，就是StartContext。

StartContext [in, optional]

         线程执行时传给StartRoutine的参数。

 

返回值

 

PsCreateSystemThread成功返回 STATUS_SUCCESS。

例子1：

[cpp] view plain copy
print ? 在CODE上查看代码片 派生到我的代码片
  1. NTSTATUS lstatus;  
  2. lstatus = PsCreateSystemThread( &hThread,   
  3.                 0,  
  4.         NULL, //或者THREAD_ALL_ACCESS  
  5.         NtCurrentProcess(),   
  6.         NULL,   
  7.         (PKSTART_ROUTINE)ThreadProc,  
  8.         NULL );  
  9. if (!NT_SUCCESS(lstatus))  
  10. {  
  11.     ;  
  12. }  
[cpp] view plain copy
print ? 在CODE上查看代码片 派生到我的代码片
  1. NTSTATUS lstatus;  
  2. lstatus = PsCreateSystemThread( &hThread,   
  3.                 0,  
  4.         NULL, //或者THREAD_ALL_ACCESS  
  5.         NtCurrentProcess(),   
  6.         NULL,   
  7.         (PKSTART_ROUTINE)ThreadProc,  
  8.         NULL );  
  9. if (!NT_SUCCESS(lstatus))  
  10. {  
  11.     ;  
  12. }  
NTSTATUS lstatus;
lstatus = PsCreateSystemThread( &hThread, 
                0,
		NULL, //或者THREAD_ALL_ACCESS
		NtCurrentProcess(), 
		NULL, 
		(PKSTART_ROUTINE)ThreadProc,
		NULL );
if (!NT_SUCCESS(lstatus))
{
	;
}
[cpp] view plain copy
print ? 在CODE上查看代码片 派生到我的代码片
  1. NTSTATUS   
  2.     ThreadProc()  
  3. {  
  4.     DbgPrint("CreateThread Successfully");    
  5.     //创建线程必须用函数PsTerminateSystemThread强制线程结束。否则该线程是无法自动退出的。      
  6.     PsTerminateSystemThread(STATUS_SUCCESS);    
  7. }  
[cpp] view plain copy
print ? 在CODE上查看代码片 派生到我的代码片
  1. NTSTATUS   
  2.     ThreadProc()  
  3. {  
  4.     DbgPrint("CreateThread Successfully");    
  5.     //创建线程必须用函数PsTerminateSystemThread强制线程结束。否则该线程是无法自动退出的。      
  6.     PsTerminateSystemThread(STATUS_SUCCESS);    
  7. }  
NTSTATUS 
	ThreadProc()
{
	DbgPrint("CreateThread Successfully");  
	//创建线程必须用函数PsTerminateSystemThread强制线程结束。否则该线程是无法自动退出的。    
	PsTerminateSystemThread(STATUS_SUCCESS);  
}

2.提供一种方式来通知线程终止并等待终止发生。

 

 

[cpp] view plain copy
print ? 在CODE上查看代码片 派生到我的代码片
  1. typedef struct _DEVICE_EXTENSION {  
  2.   ...  
  3.   KEVENT evKill;//在设备扩展中声明一个KEVENT对象  
  4.   PKTHREAD thread;  
  5. };  
  6.   
  7. NTSTATUS StartThread(PDEVICE_EXTENSION pdx)  
  8. {  
  9.   NTSTATUS status;  
  10.   HANDLE hthread;  
  11.   KeInitializeEvent(&pdx->evKill, NotificationEvent, FALSE);                       
  12.   status = PsCreateSystemThread(&hthread,   //创建新线程                           
  13.                 THREAD_ALL_ACCESS,  
  14.                 NULL,  
  15.                 NULL,  
  16.                 NULL,  
  17.                 (PKSTART_ROUTINE) ThreadProc,  
  18.                 pdx);  
  19.   if (!NT_SUCCESS(status))  
  20.     return status;  
  21.   ObReferenceObjectByHandle(hthread,        //为了等待线程终止，你需要KTHREAD对象的地址来代替从PsCreateSystemThread获得的线程句柄。  
  22.                 THREAD_ALL_ACCESS,  //调用ObReferenceObjectByHandle获得这个地址。  
  23.                 NULL,  
  24.                 KernelMode,  
  25.                 (PVOID*) &pdx->thread,  
  26.                 NULL);  
  27.   ZwClose(hthread);         //现在可以关闭线程句柄了，因为已经得到thread                        
  28.   return STATUS_SUCCESS;  
  29. }  
  30.   
  31. VOID StopThread(PDEVICE_EXTENSION pdx)  
  32. {  
  33.   KeSetEvent(&pdx->evKill, 0, FALSE);                                      
  34.   KeWaitForSingleObject(pdx->thread, Executive, KernelMode, FALSE, NULL);                  
  35.   ObDereferenceObject(pdx->thread);                                    
  36. }  
  37.   
  38. VOID ThreadProc(PDEVICE_EXTENSION pdx)  
  39. {  
  40.   ...  
  41.   KeWaitForXxx(<at least pdx->evKill>);                                      
  42.   ...  
  43.   PsTerminateSystemThread(STATUS_SUCCESS);                                
  44. }  
[cpp] view plain copy
print ? 在CODE上查看代码片 派生到我的代码片
  1. typedef struct _DEVICE_EXTENSION {  
  2.   ...  
  3.   KEVENT evKill;//在设备扩展中声明一个KEVENT对象  
  4.   PKTHREAD thread;  
  5. };  
  6.   
  7. NTSTATUS StartThread(PDEVICE_EXTENSION pdx)  
  8. {  
  9.   NTSTATUS status;  
  10.   HANDLE hthread;  
  11.   KeInitializeEvent(&pdx->evKill, NotificationEvent, FALSE);                       
  12.   status = PsCreateSystemThread(&hthread,   //创建新线程                           
  13.                 THREAD_ALL_ACCESS,  
  14.                 NULL,  
  15.                 NULL,  
  16.                 NULL,  
  17.                 (PKSTART_ROUTINE) ThreadProc,  
  18.                 pdx);  
  19.   if (!NT_SUCCESS(status))  
  20.     return status;  
  21.   ObReferenceObjectByHandle(hthread,        //为了等待线程终止，你需要KTHREAD对象的地址来代替从PsCreateSystemThread获得的线程句柄。  
  22.                 THREAD_ALL_ACCESS,  //调用ObReferenceObjectByHandle获得这个地址。  
  23.                 NULL,  
  24.                 KernelMode,  
  25.                 (PVOID*) &pdx->thread,  
  26.                 NULL);  
  27.   ZwClose(hthread);         //现在可以关闭线程句柄了，因为已经得到thread                        
  28.   return STATUS_SUCCESS;  
  29. }  
  30.   
  31. VOID StopThread(PDEVICE_EXTENSION pdx)  
  32. {  
  33.   KeSetEvent(&pdx->evKill, 0, FALSE);                                      
  34.   KeWaitForSingleObject(pdx->thread, Executive, KernelMode, FALSE, NULL);                  
  35.   ObDereferenceObject(pdx->thread);                                    
  36. }  
  37.   
  38. VOID ThreadProc(PDEVICE_EXTENSION pdx)  
  39. {  
  40.   ...  
  41.   KeWaitForXxx(<at least pdx->evKill>);                                      
  42.   ...  
  43.   PsTerminateSystemThread(STATUS_SUCCESS);                                
  44. }  
typedef struct _DEVICE_EXTENSION {
  ...
  KEVENT evKill;//在设备扩展中声明一个KEVENT对象
  PKTHREAD thread;
};

NTSTATUS StartThread(PDEVICE_EXTENSION pdx)
{
  NTSTATUS status;
  HANDLE hthread;
  KeInitializeEvent(&pdx->evKill, NotificationEvent, FALSE);						
  status = PsCreateSystemThread(&hthread,	//创建新线程							
				THREAD_ALL_ACCESS,
				NULL,
				NULL,
				NULL,
				(PKSTART_ROUTINE) ThreadProc,
				pdx);
  if (!NT_SUCCESS(status))
    return status;
  ObReferenceObjectByHandle(hthread,		//为了等待线程终止，你需要KTHREAD对象的地址来代替从PsCreateSystemThread获得的线程句柄。
			    THREAD_ALL_ACCESS,  //调用ObReferenceObjectByHandle获得这个地址。
			    NULL,
			    KernelMode,
			    (PVOID*) &pdx->thread,
			    NULL);
  ZwClose(hthread);			//现在可以关闭线程句柄了，因为已经得到thread						
  return STATUS_SUCCESS;
}

VOID StopThread(PDEVICE_EXTENSION pdx)
{
  KeSetEvent(&pdx->evKill, 0, FALSE);									
  KeWaitForSingleObject(pdx->thread, Executive, KernelMode, FALSE, NULL);				
  ObDereferenceObject(pdx->thread);									
}

VOID ThreadProc(PDEVICE_EXTENSION pdx)
{
  ...
  KeWaitForXxx(<at least pdx->evKill>);									
  ...
  PsTerminateSystemThread(STATUS_SUCCESS);								
}

jpg改rar

 



转载于:https://www.cnblogs.com/kuangke/p/5597052.html

aijia1857
关注
Windows驱动开发之线程与同步事件
enjoy5512的博客
07-07 2607
Windows驱动开发 1) 使用系统线程 2) 线程中睡眠 3) 使用同步事件
驱动开发（12）内核中的多线程和同步对象
zuishikonghuan的博客
05-03 3268
本博文由CSDN博主zuishikonghuan所作，版权归zuishikonghuan所有，转载请注明出处：在内核模式下创建线程在驱动程序中创建线程的方法是调用 PsCreateSystemThread 内核函数，此函数即可以创建系统线程，也可以创建用户线程。此函数的原型如下：NTSTATUS PsCreateSystemThread( _Out_ PHANDLE
PsCreateSystemThread()函数的还原
pureman_mega的博客
06-09 1086
主要是对传入的参数进行检查,再调用PspCreateThread() typedef struct _client_id { PVOID UniqueProcess; PVOID UniqueThread; }CLIENT_ID,* PCLIENT_ID; typedef struct _unknown { UNONG num1; ULONG num2; ...
驱动程序多线程 PsCreateSystemThread
07-27 1782
内核函数PsCreateSystemThread负责创建新线程。该函数可以创建两种线程，一种是用户线程，它属于当前进程中的线程。另一种是系统线程，系统线程不属于当前用户进程，而是属于系统进程，一般PID为4，名字为“System”的进程。 1 2 3 4 5 6 7 8 9 10 11 12 ...
PsCreateSystemThread
125096
08-01 1060
HANDLE hSystemThread,hMyThread; PsCreateSystemThread(&hSystemThread,NULL,NULL,NULL,NULL,ThreadSystemStart,NULL); PsCreateSystemThread(&hMyThread,NULL,NULL,NtCurrentProcess(),NULL,ThreadUserStart,NULL)
PsCreateSystemThread函数说明
不歪的专栏
11-30 4075
// 创建新线程 NTSTATUS PsCreateSystemThread( OUT PHANDLE ThreadHandle, //用于输出，这个参数得到新创建的线程句柄 IN ULONG DesiredAccess, //是创建的权限 IN POBJECT_A
通过　HOOK　PsCreateSystemThread　监控线程，入口函数特征码对比来过hs防护软件的保护，asm源码非常不错
05-15
3. **内核编程**：熟悉Windows驱动开发，包括IRP（I/O Request Packet）、设备驱动模型等，因为这涉及到内核级别的代码编写。 4. **特征码分析**：如何提取、比较和匹配函数特征码，以及如何避免特征码的混淆和变形...
Windows下设备驱动程序的开发方法
06-26
通过调用PsCreateSystemThread函数，驱动程序可以创建内核线程。线程同步机制如事件、信号量等用于协调线程之间的操作。 九、初探IRP I/O请求包（IRP）是Windows驱动程序中的核心概念。IRP用于封装来自用户模式...
WDF驱动中的多线程编程与同步机制
# 第一章：WDF驱动概述 ## 1.1 WDF驱动简介 Windows Driver Framework（WDF）是一种用于...## 1.2 WDF驱动的多线程编程需求 随着计算机系统的发展，多核处理器已经成为主流，并发编程已成为开发人员必须应对的挑战。
CreateThread,AfxBeginThread,PsCreateSystemThread
sanfenlu的专栏
07-07 3282
<br />先举一些使用的例子：<br />1):<br />  //在类中创建一个线程：<br />void CQboxMacDlg::OnOK() <br />{<br />   // --------------------------<br />    DWORD dwThreadId;<br />     m_hMyThread = CreateThread(NULL,0,(LPTHREAD_START_ROUTINE)MyThreadProc, this,0,&dwThreadId);<br
安全的等待线程结束
125096
07-15 832
#include //卸载函数 VOID HelloDDKUnload(IN PDRIVER_OBJECT pDriverObject); extern "C" NTSTATUS DriverEntry(IN PDRIVER_OBJECT pDriverObject, IN PUNICODE_STRING pRegistryPath); VOID Test(void); BOOLEAN bIs
Ps回调通知例程、Dpc定时器、内核线程使用方法.
kingswb的博客
05-21 1135
好久没发代码了,发个以前写的东西,代码是照葫芦画瓢来的,共同学习,共同进步,欢迎拍砖. 代码: #ifndef _SAFENOTIFYROUTINE_H #define _SAFENOTIFYROUTINE_H /************************************************************************/ /**************
内核中线程的创建与销毁
dingchangkejigongsi的博客
09-15 554
用PsCreateSystemThread来在内核中创建线程。读书笔记而已，高手飘过好 了~~~~~ 先用KmdManager加载驱动，然后在DebugView中查看。。。。 SysThread.c部分代码 C代码   NTSTATUS   DriverEntry(   IN PDRIVER_OBJECT pDriverObject,   IN PUNIC
3.Windows核心编程-线程及线程调度
BX's Blog
07-28 2132
线程 与进程类似，线程也由两个组件组成： 一个是线程的内核对象，操作系统用它管理线程。内核对象还是系统用来存放线程统计信息的地方； 一个线程堆栈，用于维护线程执行时所需的所有函数参数和局部变量。 //线程函数//创建线程 HANDLE CreateThread( PSECURITY_ATTRIBUTES psa, //线程安全属性 DWORD
多线程，创建线程、线程栈大小、线程句柄和标识符（TID）、暂停线程执行
商少
11-19 747
https://docs.microsoft.com/en-us/windows/desktop/procthread/multiple-threads 一个线程是一个进程内的可以被调度执行的实体。一个进程内所有的线程共享它的虚拟地址空间和系统资源。每个进程都开始于一个单线程，但它可以从任何它的线程中创建一个额外的线程。 创建线程       CreateThread 函数为一个进程创建一个...
CreatRemoteThread线程注入
yiyefangzhou24的专栏
02-24 6937
线程注入有很多种方法，有最简单也最方便安全的SetWindowsHookEx的钩子注入，也有代码简洁的远程线程创建注入。 这种方法构思巧妙，但是个人觉得直接硬写目标进程内存空间有一定风险，可谓差之毫厘，谬以千里。本菜鸟这个程序调试了很长时间才成功的，大牛请勿发笑。 CreatRemoteThread从字面意思上不难理解，创建一个远程线程，所以我们可以用他在目标进程中创建一个线程，立即执
驱动开发之 创建线程函数PsCreateSystemThread
Lydia的博客
06-13 7697
函数原型： NTSTATUS PsCreateSystemThread(   _Out_      PHANDLE ThreadHandle,   _In_       ULONG DesiredAccess,   _In_opt_   POBJECT_ATTRIBUTES ObjectAttributes,   _In_opt_   HANDLE ProcessHandle,  
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值