_ETHREAD中两处process的区别

最新推荐文章于 2022-05-31 21:00:15 发布
最新推荐文章于 2022-05-31 21:00:15 发布
阅读量538 收藏 1
点赞数 1
分类专栏： # 进程和线程
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_41490873/article/details/91128376
版权

+44h的位置
该处的process是系统用于线程访问内存时使用的cr3值 (养父)。改变该处的值为其他进程的cr3就可以访问其他进程的内存。（ReadProcessMemory就使用了该方法）

+220h
该处的process记录的是哪一个进程创建的这个线程的cr3 亲生父亲

SwapContext里面使用的是+44h位置的值，判断要切换的线程是否跟当前线程是在同一个进程

qq_857305819
关注
专栏目录
【并发编程二】c++创建子进程CreateProcess()
junxuezheng的博客
10-30 8139
CreatProcess（）需要若干参数来指定新进程的运行方式，但实际使用中多半参数都是用不到的，可以设置为NULL。int main(int argc, char*argv[])_argc 是整型变量，argv 是指向字符串的指针数组。进程相关的API
基于内存搜索的进程检测方法
Richard的专栏
08-23 2598
内存 检测 进程 servicetable
ETHREAD 结构体属性介绍
hambaga的博客
03-10 1522
typedef struct _ETHREAD { KTHREAD Tcb; // 线程创建时间 LARGE_INTEGER CreateTime; union { // 线程退出时间 LARGE_INTEGER ExitTime; // 用于跨进程通信 LIST_ENTRY LpcReplyChain; // 带键事件等待链表 LIST
进程线程001 进程线程结构体和KPCR
鬼手的博客
12-26 1365
文章目录前言EPROCESSKPROCESS主要成员EPROCESS其他成员ETHREADKTHREAD主要成员介绍ETHREAD其他成员介绍KPCRKPCR介绍_NT_TIB主要成员介绍KPCR的其他成员介绍KPRCB成员介绍KPRCB成员介绍 前言 进程线程的知识点很多，如果我们想了解问题的本质，就要从一些关键的结构体学起，先来介绍一个与进程密切相关的结构体 EPROCESS 每个进程在零环都...
EPROCESS+KPCR+ETHREAD部分介绍-学习记录
qq_36918532的博客
03-02 1112
**目前32位上结构体已经延展到了0x2bc ** _EPROCESS nt!_EPROCESS +0x000 Pcb : _KPROCESS 详细见下面 +0x098 ProcessLock : _EX_PUSH_LOCK 进程锁,和KPEOCESS不一样,只锁自己的结构 +0x0a0 CreateTime : _LARGE_INTEGER 进程创建时间 +0x0a8 ExitTime : _LARGE_INTEGER 进程退出时间 +0
关于Ethread的一些研究
11-22 333
环境 win764 以TP为例 ring3保护 它会在windbg断下 这个时候我们需要拿到当前线程对象 应该到 当前使用的CPU的地址 _KPRCB-> CurrentThread 就是当前线程值 我们知道了当前线程。我们就可以拿到线程的Tid 我们也可以根绝_EThread->TrapFrame 对应的 _KTRAP_FRAME ...
windows进程/线程创建过程 --- windows操作系统学习
weixin_33947521的博客
12-06 639
有了之前的对进程和线程对象的学习的铺垫后，我们现在可以开始学习windows下的进程创建过程了，我将尝试着从源代码的层次来分析在windows下创建一个进程都要涉及到哪些步骤，都要涉及到哪些数据结构。   1. 相关阅读材料 《windows 内核原理与分析》 --- 潘爱民 《深入解析windows操作系统(第4版,中文版)》 http://bbs.pediy.com/showthre...
使用EPROCESS下Win32Process枚举进程
zhuhuibeishadiao
06-08 3983
此方法硬编码很多!!! EPROCESS下win32Process其实是一个tagPROCESSINFO 结构 typedef struct _tagPROCESSINFO // 55 elements, 0x300 bytes (sizeof) {
windows内核之进程/线程结构体
挖树
03-12 1431
进程与线程 目录 文章目录目录进程结构体EPROCESS_EPROCESS_KPROCESS其他重要结构体线程结构体ETHREADETHREAD_KTHREAD其他重要结构体CPU控制区结构体KPCRNT_TIB其他重要成员KPRCB等待链表和调度链表等待链表33个链表版本差异总结 进程结构体EPROCESS 注意分清楚peb(ring 3)与EPROCESS(ring 0) 结构体很多，往往我...
软件调试详解
hongduilanjun的博客
05-31 2174
首发于奇安信攻防社区：https://forum.butian.net/share/1478在windows里面调试跟异常息息相关，如果想要对调试得心应手，异常处理的知识是必不可少的，本文主要介绍的是软件调试方面的有关知识，讲解调试程序和被调试程序之间如何建立联系调试器和被调试程序调试器与被调试程序之间建立起联系的两种方式CreateProcessDebugActiveProcess首先看一下调用的再调用通过调用号进入0环进入0环创建结构体 然后到里面看一下然后调用了创建结构返回句柄再回到，当前线程回0环创
ETHREAD APC 《寒江独钓》内核学习笔记（4）
weixin_33762321的博客
12-03 334
继续学习windows 中和线程有关系的数据结构: ETHREAD、KTHREAD、TEB   1. 相关阅读材料 《windows 内核原理与实现》 --- 潘爱民       2. 数据结构分析 我们知道，windows内核中的执行体层负责各种与管理和策略相关的功能，而内核层(微内核)实现了操作系统的核心机制。进程和线程在这两层上都有对应的数据结构。我们先从执行体层的ETH...
进程结构体EPROCESS
maomao171314的专栏
02-01 2216
1、进程结构体EPROCESS 每个windows进程在0环都有一个对应的结构体：EPROCESS 这个结构体包含了进程所有重要的信息。 kd> dt _EPROCESS +0x000 Pcb : _KPROCESS +0x078 ProcessLock : _EX_PUSH_LOCK +0x080 CreateTime : _LARGE_INTEGER +0x088 ExitTime : _LARG...
_ETHREAD断链 —— 实现线程隐藏
walker的博客
03-08 2409
简介 线程所属的父进程 _EPROCESS 结构体中的 ThreadListHead 成员是当前进程中所有线程的双向链表头，该成员有两个，分别在 0x50 和 0x190 处。我们可以通过该线程链表头进行线程遍历，也可以通过直接遍历 _ETHREAD 结构体中的 ThreadListEntry 成员实现遍历进程中的所有线程，ThreadListEntry 分别位于 0x1b0 和 0x22c 处。 我们可以通过 _ETHREAD 的 ThreadListEntry 断链实现线程隐藏。需要注意的是，Threa
EThread的线程链表
Sunny_wwc的专栏
06-24 3311
【提示】能加驱动进内核，就没必要弄EXE了，所以我个人觉得没啥实际用途，仅供观看Windows会给每一个进程建立一个EPROCESS结构，给每一个线程建立ETHREAD结构，EPROCESS结构第一个成员是KPROCESS结构，ETHREAD结构第一个成员是KTHREAD结构。每个进程的线程的ETHREAD结构都会按下图所示链接起来：<img style="margin: 2px;" title=
ReadProcessMemory函数读取基址时输出却变成了一个地址，请教一下大家
zhuchanjiang2443的博客
01-19 1990
我用ReadProcessMemory函数想读出QQ对对碰游戏的棋盘数组的数据可是输出的却是一个地址，但是用同样的方法读取座位号的基址就可以正确输出作为号，所以想请教一下大家这是什么原因，以下是代码：出问题的那一部分我变成绿色了。 #include "windows.h" #include  class jubing { public: HWND ctjubing;
内核线程结构--KTHREAD
BpLife
12-08 1893
WRK中KTHREAD typedef struct _KTHREAD { // // The dispatcher header and mutant listhead are fairly infrequently // referenced. // DISPATCHER_HEADER Header;//线程对象也是个分发器对象。 LIST
执行体线程--ETHREAD
BpLife
12-09 2631
typedef struct _ETHREAD { KTHREAD Tcb;//内嵌了KTHREAD对象作为第一个数据成员 LARGE_INTEGER CreateTime;//包含了线程创建时间，他是在线程创建时被赋值的。 union { LARGE_INTEGER ExitTime;//包含了线程的退出时间, LIST_ENTRY L
获取进程名的两种方法
04-06 1671
方案一：目前网上主流的方案public static String getProcessName(Context cxt, int pid) { ActivityManager am = (ActivityManager) cxt.getSystemService(Context.ACTIVITY_SERVICE); List<RunningAppProcessInfo> r
ETHREAD 结构
10-28 1614
每个线程都有一个 ETHREAD 结构。Win2k Build 2195 中 ETHREAD 结构定义如下kd> !strct ethread!strct ethreadstruct _ETHREAD (sizeof=584)+000 struct _KTHREAD Tcb+000 struct _DISPATCHER_HEADER Header+000 byte Type+001 byte Ab
*** Error in reading nt!_ETHREAD @ ffffa885cd897040
最新发布
03-29
_ETHREAD是Windows操作系统中的一个内核数据结构，用于表示线程对象。它包含了线程的各种属性和状态信息。具体而言，_ETHREAD结构包括了线程的ID、优先级、状态、上下文等信息。 如果你遇到了读取_ETHREAD结构时的...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值