KeSetSystemAffinityThread

最新推荐文章于 2022-03-23 10:06:11 发布
最新推荐文章于 2022-03-23 10:06:11 发布
阅读量1.8k 收藏 2
点赞数 2
分类专栏： 驱动开发入门 XP下内核 文章标签： KeSetSystemAffinityT
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_26153041/article/details/54092927
版权

ms文档上说明：

KeSetSystemAffinityThread routine
The KeSetSystemAffinityThread routine sets the system affinity of the current thread.
Syntax

C++

VOID KeSetSystemAffinityThread(
  _In_ KAFFINITY Affinity
);

Parameters

Affinity [in]
A KAFFINITY-typed variable that specifies the new system affinity of the current thread.

KeSetSystemAffinityThread例程设置当前线程的 system affinity（系统关联性）

参数是一个KAFFINITY 即是unsigned long类型变量


说白了就是指定当前线程运行在哪个cpu核心上


让我们来看看这个函数做了什么？【32 xp，ntoskrnl.exe 文件中 】

.text:0042DC7E _KeSetSystemAffinityThread@4 db  8Bh ; 
.text:0042DC7E                                         ; CODE XREF: PopSetPerfFlagAndUpdateThrottle(x,x,x)+1Dp
.text:0042DC7E                                         ; KeConnectInterrupt(x)+3Fp ...
.text:0042DC7F ; ---------------------------------------------------------------------------
.text:0042DC7F                 call    dword ptr [ebp-75h]
.text:0042DC82                 in      al, dx
.text:0042DC83                 push    ebx
.text:0042DC84                 push    esi
.text:0042DC85                 push    edi
.text:0042DC86                 mov     eax, large fs:124h ; 内核中fs:[0]指向了 当前cpu核心 的 KPCR 结构体
.text:0042DC8C                 mov     esi, eax        ; fs:[124]表示的是当前cpu核心上运行着的线程kthread结构体
.text:0042DC8E                 call    ds:__imp__KeRaiseIrqlToDpcLevel@0 ; KeRaiseIrqlToDpcLevel()
.text:0042DC94                 mov     bl, al
.text:0042DC96                 mov     eax, [ebp+8]
.text:0042DC99                 lea     ecx, [esi+124h] ; 获取当前线程的kthread. Affinity   的地址
.text:0042DC9F                 mov     [ecx], eax      ; 用传入的参数设置kthread. Affinity
.text:0042DCA1                 mov     byte ptr [esi+0DCh], 1 ; 并设置当前线程的kthread.SystemAffinityActive 1,表示启用
.text:0042DCA1                                         ; SystemAffinityActive
.text:0042DCA8                 db      3Eh
.text:0042DCA8                 mov     eax, ds:0FFDFF020h ; 0XFFDF F000表示的是 cpu0 的 KPCR
.text:0042DCA8                                         ; nt!_KPCR
.text:0042DCA8                                         ;    +0x000 NtTib            : _NT_TIB
.text:0042DCA8                                         ;    +0x01c SelfPcr          : Ptr32 _KPCR
.text:0042DCA8                                         ;    +0x020 Prcb             : Ptr32 _KPRCB
.text:0042DCA8                                         ;    +0x024 Irql             : UChar
.text:0042DCA8                                         ;    +0x028 IRR              : Uint4B
.text:0042DCA8                                         ;    +0x02c IrrActive        : Uint4B
.text:0042DCA8                                         ;    +0x030 IDR              : Uint4B
.text:0042DCA8                                         ;    +0x034 KdVersionBlock   : Ptr32 Void
.text:0042DCA8                                         ;    +0x038 IDT              : Ptr32 _KIDTENTRY
.text:0042DCA8                                         ;    +0x03c GDT              : Ptr32 _KGDTENTRY
.text:0042DCA8                                         ;    +0x040 TSS              : Ptr32 _KTSS
.text:0042DCA8                                         ;    +0x044 MajorVersion     : Uint2B
.text:0042DCA8                                         ;    +0x046 MinorVersion     : Uint2B
.text:0042DCA8                                         ;    +0x048 SetMember        : Uint4B
.text:0042DCA8                                         ;    +0x04c StallScaleFactor : Uint4B
.text:0042DCA8                                         ;    +0x050 DebugActive      : UChar
.text:0042DCA8                                         ;    +0x051 Number           : UChar
.text:0042DCA8                                         ;    +0x052 Spare0           : UChar
.text:0042DCA8                                         ;    +0x053 SecondLevelCacheAssociativity : UChar
.text:0042DCA8                                         ;    +0x054 VdmAlert         : Uint4B
.text:0042DCA8                                         ;    +0x058 KernelReserved   : [14] Uint4B
.text:0042DCA8                                         ;    +0x090 SecondLevelCacheSize : Uint4B
.text:0042DCA8                                         ;    +0x094 HalReserved      : [16] Uint4B
.text:0042DCA8                                         ;    +0x0d4 InterruptMode    : Uint4B
.text:0042DCA8                                         ;    +0x0d8 Spare1           : UChar
.text:0042DCA8                                         ;    +0x0dc KernelRe
.text:0042DCAE                 mov     edi, eax        ; edi指向此KPCR的  KPRCB结构体
.text:0042DCB0                 mov     eax, [edi+14h]
.text:0042DCB3                 test    [ecx], eax      ; 用传入的AFFINITY参数去比较 KPRCB.SetMember
.text:0042DCB5                 jz      loc_44646D
.text:0042DCBB
.text:0042DCBB loc_42DCBB:                             ; CODE XREF: .text:00446471j
.text:0042DCBB                                         ; .text:0044648Aj
.text:0042DCBB                 mov     cl, bl
.text:0042DCBD                 call    @KiUnlockDispatcherDatabase@4 ; KiUnlockDispatcherDatabase(x)
.text:0042DCC2                 pop     edi
.text:0042DCC3                 pop     esi
.text:0042DCC4                 pop     ebx
.text:0042DCC5                 pop     ebp
.text:0042DCC6                 retn    4



.text:0044646D loc_44646D:                             ; CODE XREF: .text:0042DCB5j
.text:0044646D                 cmp     dword ptr [edi+8], 0 ; 检查KPRCB.NextThread 是否为空
.text:00446471                 jnz     loc_42DCBB
.text:00446477                 movzx   ecx, byte ptr [esi+12Bh] ; 为空的话，就去看看当前线程的kthread.NextProcessor
.text:0044647E                 call    @KiSelectNextThread@4 ; KiSelectNextThread(x)
.text:00446483                 mov     byte ptr [eax+2Dh], 3 ; 看名字是，为当前没有下一个运行线程的cpu 选择出一个线程，
.text:00446483                                         ; 并设置线程kthread.State 为3
.text:00446487                 mov     [edi+8], eax    ; 设置 cpu0 的 KPRCB.NextThread为刚才
.text:00446487                                         ; 选出的kthread
.text:0044648A                 jmp     loc_42DCBB

看着这个函数仅仅  获取当前线程的kthread结构体，然后设置相关affinity相关字段，然后跑去弄别的    cpu0   KPCR？ 

在用Windbg上看  dd KiProcessorBlock L1 　　查看 

第一个就是 KPRCB   就 就是  ffdff120

减去 0X120就是  CPU0 对应的  KPCR结构体，为什么？我也不知道。。。。

qinqin772
关注
专栏目录
VT系列：将代码移植到多核模式
zhuhuibeishadiao
09-23 2453
本文只是学习此视频后的一些总结 不当之处还请指出 视频作者：小宝来了 视频连接：http://bbs.pediy.com/showthread.php?t=211973  遇到的问题大概为以下4个 1. 如何让代码执行在指定CPU 2. 虚拟机内存重叠问题 3. 保存虚拟机寄存器结构内存重叠问题 4. IRQL、多线程问题 5. 如果获取当前代码执行的CPU 6. 有
检测CPU是否具备VT的功能，并开启
最新发布
小烟的博客
02-23 2850
检测CPU是否具备VT的功能，并开启
《Windows内核原理与实现笔记》(五)Windows微内核中进程和线程的数据结构KTHREAD，KPROCESS
kernweak的博客
01-09 1476
Windows中进程和线程的数据结构 Windows内核中的执行体层负责各种与管理和策略相关的功能，而内核层（或微内核）实现了操作系统的核心机制。进程和线程在这两层上都有对应的数据结构。 内核层的进程和线程对象 首先看（微）内核层的数据结构，这是进程和线程最为基本的数据结构，分别名为KPROCESS和KTHREAD。 KPROCESS的定义（见base\ntos\inc\ke.h） t...
windbg使用方法_从头开始了解和使用Hypervisor（第2部分）
weixin_39891158的博客
11-23 426
上一篇：从头开始了解和使用Hypervisor(第1部分) DbgView的问题不幸的是，由于某些未知原因，我无法查看DbgPrint()的结果。如果可以看到结果，则可以跳过此步骤，但是如果中间遇到问题，请执行以下步骤：在regedit中，添加一个密钥： HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Man...
HOOK集合----SSDTDPC Hook Anti(X86 win7)
qq_42021840的博客
05-09 435
介绍： 前几天写过一篇SSDT DPC Hook的文章，最近才想起来写一下如何来对抗SSDT DPC Hook，所以有了这篇文章，其实对抗原理也很简单，就是检测出来目标驱动创建的DPC，移除掉，然后进行普通的SSDT Hook 就可以了。 （一） ⚪获取目标驱动信息(模块基址和大小) ⚪获取DPC信息 判断目标驱动创建出的DPC ⚪移除DPC、销毁时钟 ⚪卸载SSDT Hook （二） #pragma once #include<fltKernel.h> #...
r0下多核hook
hongduilanjun的博客
03-23 1706
文章首发奇安信攻防社区：https://forum.butian.net/share/1361 r0层多核下hook高并发函数存在的问题是：在使用如memcpy的时候，无法一次性拷贝5个字节的硬编码。即有可能拷贝到一半，别的线程去执行了代码导致蓝屏。 解决的办法有： 短跳中转 中断门 找一条一次性修改8字节的指令 这里将使用第三种方法实现。 SwapContext 这是线程切换核心函数，Windows几乎无时无刻在执行这个函数，所以属于是高并发函数。 本文将在多核环境下通过hook SwapCont
移除时钟KTIMER和DPC
ming_taizi的博客
04-24 1211
在win7 32位和64位下 通过枚举系统所有KTIMER时钟，寻找自己想要移除的时钟，达到移除目标驱动的KTIMER和DPC的目的。
KTHREAD 结构体属性介绍
hambaga的博客
03-10 1832
typedef struct _KTHREAD { // // The dispatcher header and mutant listhead are fairly infrequently // referenced. // DISPATCHER_HEADER Header; // KTHREAD 是可等待对象，线程结束时有信号 // 此链表存储了属于该线程的所有 mutant（对应3环的 mutex） // 一旦该线程获得了 mu
Windows 2000XP下PCI总线WDM设备驱动程序的开发.pdf
04-26
例如，可以使用`KeInitializeInterrupt`初始化中断对象，并通过`KeSetSystemAffinityThread`设置中断处理线程的亲和性。 **4.3 与应用程序的通信** 驱动程序与应用程序之间的通信通常通过设备文件或者命名管道等...
Windows中断处理
dayenglish的专栏
08-01 3160
在现代操作系统当中，驱动并不是固定与中断相对应的，而是作为一种资源由程序员自己在驱动当中申请，这样在驱动加载之后，如果有中断产生的时候，就会调用在与中断相关的函数。
《Windows内核原理与实现》-------函数，结构，全局变量的所在页数
走在北风里
11-08 746
最近学习《Windows内核原理与实现》发现其博大精深，粗略过了一遍，很多东西比较茫然，看书之余把书中涉及的函数，结构，全局变量的所在页数总结出来，便于以后查阅。 由于半自动半手工，难免有写错的地方，如有发现还请留言通知，谢谢。 函数 函数名称 所在页数 _KeSystemStartup 149 _KiExceptionExit 341 _KiFastCallEntry 552 554 _KiServiceExit 553 _KiShutUpAssembler 321 _
ULONGLONG乘法分析
12-15 1855
64位乘法分析：VC6 Console Code：int main(int argc, char* argv[]){      ULONGLONG    a = 0x87654321;      ULONGLONG    b = 0x100000001;      a*=b;      //::MessageBox(NULL,"Content","Title",MB_OK);      return 0;}Debug模式下汇编Code：9:        ULONGLONG   a = 0x87654321
x64驱动遍历 DPC 定时器
LYSM
05-22 805
目的 拿到类似于 PChunter 中的信息： 过程 首先，要拿到系统的 _KPRCB ，也就是 KiProcessorBlock 的地址： 我这里显示了 4 地址，这是因为我的 CPU 是 4 核 —— （垃圾电脑勿喷） 对于 KiProcessorBlock 这个 API , Windows 没有导出： 但是可以通过另一种办法获取到这个地址： // 获取特殊寄存器中的值，拿 _KPRCB ULONG64 PrcbAddress = (ULONG64)__readmsr(0xC0000101)
Windows内核常见数据结构(线程相关)
多媒体编程、网络编程、系统编程、网络安全编程、驱动编程
07-27 615
线程是进程的实际存在，每个进程中至少会有一个线程． 线程相关的数据结构比较多，一个一个看． 首先是ETHREAD： lkd> dt _ETHREAD nt!_ETHREAD    +0x000 Tcb              : _KTHREAD       //线程控制块    +0x1c0 CreateTime       : _LARGE_INTEGER    +0x1c0
指定使用哪个CPU
weixin_34082695的博客
06-29 209
对于应用程序使用SetProcessAffinityMask/SetThreadAffinityMask。 对于内核程序使用KeSetSystemAffinityThread。 如果想在多核CPU下做hook IDT就要用这个函数了，有时间写个例子。 转载于:https://www.cnblogs.com/fanzi2009/archive/2010/11/29/1890998.html...
Windows2003 内核级进程隐藏、侦测技术（下）
ygyangguang的专栏
01-19 692
在PspCreateProcess内核API中能清晰的找到:  　　InsertTailList(&PsActiveProcessHead,&Process->ActiveProcessLinks);  　　当进程结束的时候，该进程的EPROCESS结构当从活动进程链上摘除。（但是EPROCESS结构不一定就马上释放）。  　　在PspExitProcess内核API中能清晰的找到: 
Windows内核基础之进程
tutucoo
12-07 931
1. 进程结构体EPROCESS 每个运行中的进程在Windows内核中都有一个EPROCESS的结构体，这个结构体包含了进程所有重要的信息。 在WinDbg中使用指令dt _EPROCESS可以查看进程结构体的所有成员。 nt!_EPROCESS +0x000 Pcb : _KPROCESS +0x098 ProcessLock : _EX_PUS...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值