SetThreadContext - Rechte besorgen (Prozess debuggen)

[Zacherl]

Hi,

ich möchte Set/GetThreadContext für den Thread eines fremden Prozesses aufrufen. Dies schlägt nur leider immer fehl. Wie kann ich mir die erforderlichen Rechte besorgen?

Florian

[Luckie]

PSDK lesen hilft:

Zitat:

You cannot get a valid context for a running thread. Use the SuspendThread function to suspend the thread before calling GetThreadContext.
If you call GetThreadContext for the current thread, the function returns successfully; however, the context returned is not valid.

[Zacherl]

Mhh sollte aber gehen, da mein zweites Programm CreateProcess mit CREATE_SUSPENDED verwendet. Also sind doch eigentlich alles Threads suspendiert.

Dann bekomme ich per Windows Message das Handle des Threads, was ich aus ProcessInfo auslese und versuche GetThreadContext aufzurufen. Das schlägt allerdings fehl.

[Win32.API]

Du solltest vieleicht erstmal die grundlagen lernen und dir dein "project" nicht zusammen kopieren ...

[Luckie]

Zitat:

Zitat von Florian Bernd

und versuche GetThreadContext aufzurufen. Das schlägt allerdings fehl.

Du hast mittlrweile über tausend Posting. Du sollstest mittleweile wiessen das "geht nicht" oder ähnliche Fehlerbeschreibungen wenig hilfreich sind.

Und ich habe dir oben schon mal gesagt, dass man das PSDK lesen soll:

Zitat:

If the function succeeds, the return value is nonzero.
If the function fails, the return value is zero. To get extended error information, call GetLastError.

[brechi]

Win32.API hat recht

CreateProcessA liefert ProcessID // ProcessH // ThreadID // ThreadH
Mit GetThreadContext(ThreadH) sollte es gehen, ansonsten OpenThread mit der ThreadID versuchen.
Btw. machste bei CREATE_SUSPENDED nen System Breakpoint, änder danach also das EIP Register blos nicht ab.

[DP-Maintenance]

Dieses Thema wurde von "Christian Seehase" von "Internet / LAN / ASP.NET" nach "Windows API / MS.NET Framework API" verschoben.
Kein Netzwerkproblem

[Zacherl]

Ist ja gut, ist ja gut .. ich kopiere mir nichts zusammen ..

@Luckie: Das PSDK habe ich gelesen, allerdings hilft mir das auch nicht weiter, wenn der Aufruf komplett fehlschlägt. Ich hätte den Fehler vielleicht etwas genauer beschreiben können, sorry. Das Problem ist, dass der Aufruf von GetThreadContext sofort eine AV auslöst.

@Win32.API: Wie kommst du drauf?

@brechi: Nein, hat er nicht .. Ich weiß, dass CreateProcess diese Werte liefert. Führe ich ein einem Testprojekt CreateProcess aus und nehme hThread für GetThreadContext, dann funktioniert auch alles.
Erstelle ich in einem zweiten Programm allerdings mit CreateProcess einen Prozess und übergebe hThread an mein erstes Programm und rufe darin GetThreadContext auf, dann schlägt dies in einer AV fehl. OpenThread mit der ThreadID habe ich auch probiert. Der Fehler bleibt allerdings gleich ..

[brechi]

1) Sollte GetThreadContext nie crashen sondern nur failen und dann mit GetLastError der Fehler ausgelesen werden können.
2) Ist es klar dass GetThreadContext nicht mit hThread aus einem anderen Thread funzt. (Grundlagen?)

=> Du machst was mit GetThreadContext falsch, z.b. setzt die größte von TContext nicht oder setzt nicht die Flags von dem was ausgelesen werden soll.

[Zacherl]

Zitat:

Zitat von brechi

1) Sollte GetThreadContext nie crashen sondern nur failen und dann mit GetLastError der Fehler ausgelesen werden können.
2) Ist es klar dass GetThreadContext nicht mit hThread aus einem anderen Thread funzt. (Grundlagen?)

=> Du machst was mit GetThreadContext falsch, z.b. setzt die größte von TContext nicht oder setzt nicht die Flags von dem was ausgelesen werden soll.

1) Tut es leider aber .. das ContextFlag habe ich gesetzt, allerdings vergessen die Größe vorher festzulegen :wall:
2) Ja, deshalb habe ich dort doch auch den Fehler vermutet. Wenn man debug Rechte für einen Prozess besitzt kann man IMHO auch GetThreadContext mit Thread dieses Prozesses aufrufen.

Vielen Dank für eure Hilfe :thumb:

(Was ich allerdings immer noch komisch finde, ist, dass mein Code funktioniert, wenn ich CreateProcess im selben Programm aufrufe. Ohne vorher die Größe von TContext zu setzen ..)