3

Eu quero suspender um thread específico de um processo em C++ pelo StartAddress. O meu código já suspende alguns threads do processo, porém outros não... Parece que isso só acontece com address que tenham algo depois da extensão que não seja o address.

Um exemplo do thread que quero suspender: https://prnt.sc/m9vcef

MEU PROBLEMA

Ele funciona apenas em algumas start address, exemplo: "calc.exe+0x1b9b8", agora se for, "calc.exe!globalDllIndex+0xac3b08" não funciona.

Por favor, alguém pode ver meu código e ver o que está faltando? Não faço ideia do que seja.

Meu código:

#pragma comment( lib, "psapi" )

enum THREADINFOCLASS
{
ThreadQuerySetWin32StartAddress = 9,
};

typedef NTSTATUS(__stdcall * f_NtQueryInformationThread)(HANDLE, THREADINFOCLASS, void*, ULONG_PTR, ULONG_PTR*);

ULONG_PTR GetThreadStartAddress(HANDLE hThread)
{
    auto NtQueryInformationThread = reinterpret_cast<f_NtQueryInformationThread>(GetProcAddress(GetModuleHandleA("ntdll.dll"), "NtQueryInformationThread"));
    if (!NtQueryInformationThread)
        return 0;

    ULONG_PTR ulStartAddress = 0;
    NTSTATUS Ret = NtQueryInformationThread(hThread, ThreadQuerySetWin32StartAddress, &ulStartAddress, sizeof(ULONG_PTR), nullptr);

    if (Ret)
        return 0;

    return ulStartAddress;
}


bool SuspendThreadByStartaddress(ULONG_PTR StartAddress, DWORD dwProcId)
{
    HANDLE hSnap = CreateToolhelp32Snapshot(TH32CS_SNAPTHREAD, 0);
    if (!hSnap)
        return false;

    THREADENTRY32 TE32 = { 0 };
    TE32.dwSize = sizeof(THREADENTRY32);

    BOOL Ret = Thread32First(hSnap, &TE32);
    while (Ret)
    {
        if (TE32.th32OwnerProcessID == dwProcId)
        {
            HANDLE hTempThread = OpenThread(THREAD_ALL_ACCESS, FALSE, TE32.th32ThreadID);
            if (!hTempThread)
                continue;

            if (StartAddress == GetThreadStartAddress(hTempThread))
            {
                SuspendThread(hTempThread);
                CloseHandle(hTempThread);
                CloseHandle(hSnap);
                return true;
            }
        }
        Ret = Thread32Next(hSnap, &TE32);
    }

    CloseHandle(hSnap);

    return false;
}


uintptr_t dwGetModuleBaseAddress(DWORD procId, const char* modName)
{
    uintptr_t modBaseAddr = 0;
    HANDLE hSnap = CreateToolhelp32Snapshot(TH32CS_SNAPMODULE | TH32CS_SNAPMODULE32, procId);
    if (hSnap != INVALID_HANDLE_VALUE)
    {
        MODULEENTRY32 modEntry;
        modEntry.dwSize = sizeof(modEntry);
        if (Module32First(hSnap, &modEntry))
        {
            do
            {
                if (strcmp(modEntry.szModule, modName) == 0)
                {
                    modBaseAddr = (uintptr_t)modEntry.modBaseAddr;
                    break;
                }
            } while (Module32Next(hSnap, &modEntry));

        }
    }
    CloseHandle(hSnap);
    return modBaseAddr;
}


int main()
{
    HWND tibiaWindow;
    HANDLE hProcess;
    DWORD PID;

    tibiaWindow = FindWindow(NULL, "TitleName Process");
    if (!tibiaWindow) {
        cout << "Cannot found process...\n";
    }
    else {;
        GetWindowThreadProcessId(tibiaWindow, &PID);
        hProcess = OpenProcess(PROCESS_ALL_ACCESS, FALSE, PID);
        uintptr_t base = dwGetModuleBaseAddress(PID, "MyModuleDll.dll");
        SuspendThreadByStartaddress(base + 0xac3b08, PID);
    }
    getchar();
}

Alguém tem alguma sugestão? obrigado

3
  • Como você sabe que não está conseguindo suspender a thread? Meu código faz exatamente assim e funciona.
    – lsalamon
    Commented 21/01/2019 às 19:46
  • Poderia enviar um printscreen? Ele funciona apenas em algumas start address, exemplo: "calc.exe+0x1b9b8", agora se for, "calc.exe!globalDllIndex+0xac3b08" não funciona. Vc consegue me ajudar?
    – Dansh
    Commented 21/01/2019 às 20:04
  • No meu caso uso somente o ID da thread que quero suspender, sem entrar no mérito de endereços. Assim sempre funciona. Tente olhar o código fonte do aplicativo Process Hacker. Boa sorte.
    – lsalamon
    Commented 22/01/2019 às 1:28

1 Resposta 1

0

Pelo que eu entendi você somente está fazendo uma verificação dupla para caso o pid não bater com o nome do processo correto? Pois teoricamente somente com o PID você consegue suspender o processo.

O que eu vi é que o nome está estático. Ou seja, vai ser o Nome do processo + ADDRESS.

SuspendThreadByStartaddress(base + 0xac3b08, PID);

Agora você pode:

  1. verificar somente o nome do processo ou o address no final, não comparando a string toda, pois teoricamente o PID já é um processo de validação. (Não tem como existir 2 processos com mesmo pid no sistema ao mesmo tempo )

  2. pode criar outro argumento na função para que você passe a base e o endereço. E você verifica se os dois estão na contidos no nome address do retorno GetThreadStartAddress(hTempThread)

Lembrando que somente pelo PID você consegue suspender o processo. O address seria mais para uma segunda verificação.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .