获取当前进程.线程。过程一探。

PsGetCurrentProcess

PsGetCurrentThread

这2个函数

前者是获取当前进程

后者是获取当前线程。

--------

他们的反汇编代码如下

lkd> u IoGetCurrentProcess

nt!PsGetCurrentProcess:

8052c2ee 64a124010000 mov eax,dword ptr fs:[00000124h]

8052c2f4 8b4044 mov eax,dword ptr [eax+44h]

8052c2f7 c3 ret

lkd> u PsGetCurrentThread

nt!PsGetCurrentThread:

8052c312 64a124010000 mov eax,dword ptr fs:[00000124h]

8052c318 c3 ret

------------------------

可以看出都操作了FS寄存器。

而FS寄存器其实就是

_KPCR

结构

这个结构如下：

lkd> dt _kpcr

nt!_KPCR

+0x000 NtTib : _NT_TIB

+0x01c SelfPcr : Ptr32 _KPCR

+0x020 Prcb : Ptr32 _KPRCB

+0x024 Irql : UChar

+0x028 IRR : Uint4B

+0x02c IrrActive : Uint4B

+0x030 IDR : Uint4B

+0x034 KdVersionBlock : Ptr32 Void

+0x038 IDT : Ptr32 _KIDTENTRY

+0x03c GDT : Ptr32 _KGDTENTRY

+0x040 TSS : Ptr32 _KTSS

+0x044 MajorVersion : Uint2B

+0x046 MinorVersion : Uint2B

+0x048 SetMember : Uint4B

+0x04c StallScaleFactor : Uint4B

+0x050 DebugActive : UChar

+0x051 Number : UChar

+0x052 Spare0 : UChar

+0x053 SecondLevelCacheAssociativity : UChar

+0x054 VdmAlert : Uint4B

+0x058 KernelReserved : [14] Uint4B

+0x090 SecondLevelCacheSize : Uint4B

+0x094 HalReserved : [16] Uint4B

+0x0d4 InterruptMode : Uint4B

+0x0d8 Spare1 : UChar

+0x0dc KernelReserved2 : [17] Uint4B

+0x120 PrcbData : _KPRCB

----------

+0x120 PrcbData : _KPRCB

+0x000 MinorVersion : Uint2B

+0x002 MajorVersion : Uint2B

+0x004 CurrentThread : Ptr32 _KTHREAD //后者就是根据该成员取得当前线程的

+0x008 NextThread : Ptr32 _KTHREAD

+0x00c IdleThread : Ptr32 _KTHREAD

-------

那么前者呢。

lkd> dt _KTHREAD -r1

ntdll!_KTHREAD

.............省略..............

+0x034 ApcState : _KAPC_STATE

+0x000 ApcListHead : [2] _LIST_ENTRY

+0x010 Process : Ptr32 _KPROCESS //就是这个位置