如何在Windows中检索线程的起始地址？

Question

我正在使用C中的迷你Windows进程资源管理器，我有一个线程句柄 如何检索该线程的起始地址？这样的事情：

Answer 1

几天前已经提出过这样的问题。这是一个示例解决方案：

DWORD WINAPI GetThreadStartAddress(HANDLE hThread)
{
    NTSTATUS ntStatus;
    HANDLE hDupHandle;
    DWORD dwStartAddress;

    pNtQIT NtQueryInformationThread = (pNtQIT)GetProcAddress(GetModuleHandle("ntdll.dll"), "NtQueryInformationThread");

    if(NtQueryInformationThread == NULL) 
        return 0;

    HANDLE hCurrentProcess = GetCurrentProcess();
    if(!DuplicateHandle(hCurrentProcess, hThread, hCurrentProcess, &hDupHandle, THREAD_QUERY_INFORMATION, FALSE, 0)){
        SetLastError(ERROR_ACCESS_DENIED);

        return 0;
    }

    ntStatus = NtQueryInformationThread(hDupHandle, ThreadQuerySetWin32StartAddress, &dwStartAddress, sizeof(DWORD), NULL);
    CloseHandle(hDupHandle);
    if(ntStatus != STATUS_SUCCESS) 
       return 0;

    return dwStartAddress;

}

来源：http://forum.sysinternals.com/how-to-get-the-start-address-and-modu_topic5127_post18072.html#18072

您可能必须包含此文件：http://pastebin.com/ieEqR0eL

相关问题：How to add ntdll.dll to project libraries with LoadLibrary() and GetProcAddress() functions?

Answer 2

<{> NtQueryInformationThread与ThreadQuerySetWin32StartAddress。另一种可能性是使用StackWalk64遍历线程的堆栈。

如果您只需要起始地址，则NtQueryInformationProcess更简单批次。即使使用相当简洁的编码，走栈也需要几百lines of code左右。

Answer 3

您应该能够使用StackWalk64或相关函数获取堆栈跟踪，然后使用dbghelp.dll解析它。

此CodeProject文章详细解释了所有内容： http://www.codeproject.com/KB/threads/StackWalker.aspx