我通过CreateToolhelp32Snapshot
函数枚举进程中的所有线程。 我想为每个线程获取一些基本的堆栈信息。 更具体地说,我想获得堆栈底部地址,如果可能的话,我想获得当前的堆栈顶部地址。 基本上这是在WinDbg中用~*k
命令显示的信息。 那么我怎样才能从线程的ID或HANDLE中获取堆栈信息呢?
(定义可以在这里找到。)
获取堆栈边界:
THREAD_BASIC_INFORMATION basicInfo; NT_TIB tib; // Get TEB address NtQueryInformationThread(YOUR_THREAD_HANDLE, ThreadBasicInformation, &basicInfo, sizeof(THREAD_BASIC_INFORMATION), NULL); // Read TIB NtReadVirtualMemory(YOUR_PROCESS_HANDLE, basicInfo.TebBaseAddress, &tib, sizeof(NT_TIB), NULL); // Check tib.StackBase and tib.StackLimit
要获得esp
的价值,只需使用GetThreadContext
。
一个简单的方法,而不必涉及Windows驱动程序工具包是这样的:
NT_TIB* tib = (NT_TIB*)__readfsdword(0x18); size_t* stackBottom = (size_t*)tib->StackLimit; size_t* stackTop = (size_t*)tib->StackBase;
__readfsdword()仅适用于当前线程。 所以,NtQueryInformationThread()的变体更加灵活。
添加了一些在ntdll.h中错过的声明:
typedef enum _THREADINFOCLASS { ThreadBasicInformation = 0, } THREADINFOCLASS; typedef LONG KPRIORITY; typedef struct _CLIENT_ID { HANDLE UniqueProcess; HANDLE UniqueThread; } CLIENT_ID; typedef CLIENT_ID *PCLIENT_ID; typedef struct _THREAD_BASIC_INFORMATION { NTSTATUS ExitStatus; PVOID TebBaseAddress; CLIENT_ID ClientId; KAFFINITY AffinityMask; KPRIORITY Priority; KPRIORITY BasePriority; } THREAD_BASIC_INFORMATION, *PTHREAD_BASIC_INFORMATION;
正如我所知,Toolhelp通过复制堆,模块,进程和线程的基本信息来工作。 这不包括包含堆栈底部地址的TEB块。 我想你需要使用另一个API,调试器引擎API,它提供了检查堆栈的函数