Windows中获取线程起始地址

最新推荐文章于 2024-11-17 10:41:00 发布

原创

最新推荐文章于 2024-11-17 10:41:00 发布 · 7.4k 阅读

2 ·

CC 4.0 BY-SA版权

本文介绍了在Windows操作系统中如何确定线程的起始地址，特别是在需要验证线程是否从特定模块开始执行时。线程的StartAddress存储在_RING3不可访问的_ETHREAD结构内。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

偶尔碰到了一个小需求，要验证一个线程起始于某个模块，可以限制对代码的执行，起始于特定的线程。

线程的起始地址StartAddress，保存在了 _ETHREAD 结构中，无法从Ring3获取。

kd> dt _ethread 80553740  
ntdll!_ETHREAD
   +0x000 Tcb              : _KTHREAD
   +0x1c0 CreateTime       : _LARGE_INTEGER 0x0
   +0x1c0 NestedFaultCount : 0y00
   +0x1c0 ApcNeeded        : 0y0
   +0x1c8 ExitTime         : _LARGE_INTEGER 0x0
   +0x1c8 LpcReplyChain    : _LIST_ENTRY [ 0x0 - 0x0 ]
   +0x1c8 KeyedWaitChain   : _LIST_ENTRY [ 0x0 - 0x0 ]
   +0x1d0 ExitStatus       : 0
   +0x1d0 OfsChain         : (null) 
   +0x1d4 PostBlockList    : _LIST_ENTRY [ 0x0 - 0x0 ]
   +0x1dc TerminationPort  : (null) 
   +0x1dc ReaperLink       : (null) 
   +0x1dc KeyedWaitValue   : (null) 
   +0x1e0 ActiveTimerListLock : 0
   +0x1e4 ActiveTimerListHead : _LIST_ENTRY [ 0x0 - 0x0 ]
   +0x1ec Cid              : _CLIENT_ID
   +0x1f4 LpcReplySemaphore : _KSEMAPHORE
   +0x1f4 KeyedWaitSem