PsGetContextThread 返回 C0000005(ACCESS_VIOLATION)

Question

我正在尝试使用一个名为 PsGetContextThread 的未记录函数从驱动程序中检索用户模式线程的上下文，我知道这在用户模式中是可能的，但我有理由从内核中执行此操作，但事实并非如此可以商量，所以请不要转移话题。现在回到主题，下面的代码在调试时包含一个有效的线程，对我来说一切都很好，但是它 returns 无效，错误代码 C0000005 是 ACCESS_VIOLATION 但我不知道这段代码如何触发并且希望得到一些帮助来解决这个问题，因为我已经在这个问题上停留了很长一段时间。

NTSTATUS GetThreadContext(PETHREAD thread) {
KPROCESSOR_MODE mode = UserMode;
CONTEXT context;
UNICODE_STRING setContextString, getContextString;
pPsGetContextThread PsGetContextThread;
NTSTATUS status = STATUS_SUCCESS;

RtlInitUnicodeString(&getContextString, L"PsGetContextThread");
RtlZeroMemory(&context, sizeof(CONTEXT));

PsGetContextThread = (pPsGetContextThread)MmGetSystemRoutineAddress(&getContextString);

context.ContextFlags = CONTEXT_FULL;
status = PsGetContextThread(thread, &context, mode);

if (!NT_SUCCESS(status)) {
    return STATUS_UNSUCCESSFUL;
}

return STATUS_SUCCESS;
}

如果有人知道接下来要尝试什么或有任何建议，请执行下面的 post。

Answer 1

是的，@HarryJohnston 说得对，当我们指定 UserMode PsGetContextThread 时，检查 &context 是否是一个有效的 user-mode 指针。所以我们需要为此传递有效的用户模式指针。我们可以通过调用 ZwAllocateVirtualMemory - 使用此代码 - 这是可行的

NTSTATUS GetThreadContext(PETHREAD thread, PCONTEXT ctx) 
{
#if 0
    typedef NTSTATUS (NTAPI* GETSETCONTEXTTHREAD)(PETHREAD, PCONTEXT,MODE);
    static GETSETCONTEXTTHREAD PsGetContextThread;
    static BOOLEAN bInit;

    if (!bInit)
    {
        STATIC_UNICODE_STRING(aPsGetContextThread, "PsGetContextThread");
        PsGetContextThread = (GETSETCONTEXTTHREAD)MmGetSystemRoutineAddress(&aPsGetContextThread);
        bInit = TRUE;
    }

    if (!PsGetContextThread)
    {
        return STATUS_PROCEDURE_NOT_FOUND;
    }
#endif

    CONTEXT * BaseAddress = 0;
    SIZE_T Size = sizeof(CONTEXT);
    NTSTATUS status = ZwAllocateVirtualMemory(NtCurrentProcess(), (void**)&BaseAddress, 0, &Size, MEM_COMMIT, PAGE_READWRITE);
    if (0 <= status)
    {
        BaseAddress->ContextFlags = ctx->ContextFlags;
        if (0 <= (status = PsGetContextThread(thread, BaseAddress, UserMode)))
        {
            memcpy(ctx, BaseAddress, sizeof(CONTEXT));
        }
        ZwFreeVirtualMemory(NtCurrentProcess(), (void**)&BaseAddress, &Size, MEM_RELEASE);
    }

    return status;
}

并且认为您不需要使用 MmGetSystemRoutineAddress 而是静态导入 PsGetContextThread，但是如果您无论如何都想在运行时获取此指针 - 不需要每次都这样做 - 但只需一次。指向函数 static

Answer 2

您混淆了第三个参数 - 它没有说明您获取的是用户模式线程上下文还是内核模式线程上下文，它仅表示原始调用是从用户模式还是内核模式进行的。因此，您不需要使用用户模式调用该函数并将数据从用户复制到内核。只需使用 KernelMode 调用它并使用内核内存。

NTSTATUS GetThreadContext(PETHREAD thread, PCONTEXT ctx) 
{
#if 0
    typedef NTSTATUS (NTAPI* GETSETCONTEXTTHREAD)(PETHREAD, PCONTEXT,MODE);
    static GETSETCONTEXTTHREAD PsGetContextThread = NULL;

    if (NULL == PsGetContextThread )
    {
        STATIC_UNICODE_STRING(aPsGetContextThread, "PsGetContextThread");
        PsGetContextThread = (GETSETCONTEXTTHREAD)MmGetSystemRoutineAddress(&aPsGetContextThread);
    }

    if (NULL == PsGetContextThread)
    {
        return STATUS_PROCEDURE_NOT_FOUND;
    }
#endif

    return PsGetContextThread(thread, ctx, KernelMode);
}

PsGetContextThread 返回 C0000005(ACCESS_VIOLATION)

PsGetContextThread returning C0000005(ACCESS_VIOLATION)

c

windows

driver

internals