スレッドとプロセスの制御

[アーティクル]
04/01/2024

デバッガーエンジンのスレッドとプロセスの概要については、「スレッドとプロセス」を参照してください。

イベントが発生すると、イベントスレッドとイベントプロセスが、イベントが発生したスレッドとプロセス (オペレーティングシステムまたは仮想) に設定されます。これらは、それぞれ GetEventThread と GetEventProcess を使用して見つけることができます。

暗黙的なスレッドとプロセス

カーネルモードデバッグでは、デバッガーエンジンは暗黙的なプロセスを使用して、仮想から物理アドレスへの変換を実行するときに使用する仮想アドレス空間を決定します。たとえば、VirtualToPhysical メソッドや ReadVirtual メソッドなどです。イベントが発生すると、暗黙的なプロセスが現在のプロセスに設定されます。

暗黙的なプロセスは、SetImplicitProcessDataOffset を使用して変更できます。暗黙的なプロセスを決定するには、GetImplicitProcessDataOffset を使用します。

注: ライブカーネルデバッグセッション中にブレークポイントを設定すると、デバッガーエンジンはブレークポイントの仮想アドレスをターゲットに渡し、ターゲットはブレークポイントを設定します。この場合、ブレークポイントを処理するときにターゲットのプロセスコンテキストのみが使用されます。暗黙的なプロセスの値は無関係です。

カーネルモードデバッグでは、デバッガーエンジンは暗黙的なスレッドを使用して、ターゲットのレジスタの一部を決定します。これには、プロセッサスタック (GetStackOffset を参照)、フレームオフセット (GetFrameOffset を参照)、命令オフセット (GetInstructionOffset を参照) が含まれます。イベントが発生すると、暗黙的なスレッドが現在のスレッドに設定されます。

暗黙的なスレッドは、SetImplicitThreadDataOffset を使用して変更できます。暗黙的なスレッドを特定するには、GetImplicitThreadDataOffset を使用します。

すべてのレジスタが暗黙的なスレッドによって決定されるわけではありません。一部のレジスタはメイン暗黙的なスレッドが変更されたときに同じになります。

警告 : 暗黙的なプロセスと暗黙的なスレッドは独立しています。暗黙的スレッドが暗黙的プロセスに属していない場合、暗黙的スレッドのユーザーおよびセッション状態は間違った仮想アドレス空間に存在し、この情報にアクセスしようとするとエラーが発生したり、誤った結果が返されたりします。カーネルメモリのアドレスはすべての仮想アドレス空間にわたって一定であるため、カーネルメモリにアクセスする場合には、この問題は発生しません。したがって、カーネルメモリにある暗黙的スレッドの情報は、暗黙的プロセスとは独立してアクセスできます。

スレッド数

エンジンスレッド ID は、デバッガーエンジンによって、各オペレーティングシステムスレッドとターゲットの各仮想スレッドを識別するために使用されます。

ターゲットが停止している間、各スレッドには、そのスレッドが属するプロセスに対する相対インデックスもあります。どのプロセスでも、プロセスの最初のスレッドのインデックスは 0 で、最後のスレッドのインデックスはプロセス内のスレッドの数から 1 を引いた数です。現在のプロセス内のスレッドの数は、GetNumberThreads を使用して見つけることができます。現在のターゲット内のすべてのプロセスのスレッドの合計数は、GetTotalNumberThreads を使用して見つけることができます。

現在のプロセス内の 1 つ以上のスレッドのエンジンスレッド ID とシステムスレッド ID は、GetThreadIdsByIndex を使用してインデックスから見つけることができます。

エンジンは、各スレッドに関するいくつかの情報を保持します。この情報は、現在のスレッドに対して照会でき、スレッドのエンジンスレッド ID を見つけるために使用できます。

システムスレッド ID (ユーザーモードデバッグのみ)
現在のスレッドのシステムスレッド ID は、GetCurrentThreadSystemId を使用して見つけることができます。特定のシステムスレッド ID の場合、対応するエンジンスレッド ID は GetThreadIdBySystemId を使用して見つけることができます。

スレッド環境ブロック (TEB)
現在のスレッドの TEB のアドレスは、GetCurrentThreadTeb を使用して見つけることができます。特定の TEB アドレスに対して、対応するエンジンスレッド ID が GetThreadIdByTeb を使用して見つかる場合があります。カーネルモードデバッグでは、(仮想) スレッドの TEB は、最後のイベントが発生したときに対応するプロセッサ上で実行されていたシステムスレッドの TEB です。

データオフセット
ユーザーモードデバッグでは、(システム) スレッドのデータオフセットは、そのスレッドの TEB の場所です。カーネルモードのデバッグでは、(仮想) スレッドのデータオフセットは、最後のイベントが発生したときに対応するプロセッサ上で実行されていたシステムスレッドの KTHREAD 構造体です。現在のスレッドのデータオフセットは、GetCurrentThreadDataOffset を使用して見つけることができます。特定のデータオフセットに対して、対応するエンジンスレッド ID は GetThreadIdByDataOffset を使用して見つけることができます。

システムハンドル
現在のスレッドのシステムハンドルは、GetCurrentThreadHandle を使用して見つけることができます。特定のシステムハンドルの場合、対応するエンジンスレッド ID は、GetThreadIdByHandle を使用して見つけることができます。カーネルモードデバッグでは、(仮想) プロセスごとに人工ハンドルが作成されます。このハンドルは、デバッガーエンジン API クエリでのみ使用できます。

プロセス

エンジンプロセス ID は、デバッガーエンジンによって、各オペレーティングシステムプロセスとターゲットの各仮想プロセスを識別するために使用されます。

ターゲットが停止している間、各プロセスにはターゲットに対する相対インデックスがあります。ターゲット内の最初のプロセスのインデックスは 0 で、最後のプロセスのインデックスはターゲット内のプロセスの数から 1 を引いた値です。現在のターゲット内のプロセスの数は、GetNumberProcesses を使用して見つけることができます。

エンジンは、各プロセスに関するいくつかの情報を保持します。この情報は、現在のプロセスに対してクエリを実行でき、プロセスのエンジンプロセス ID を検索するために使用できます。

システムプロセス ID (ユーザーモードデバッグのみ)
現在のプロセスのシステムプロセス ID は、GetCurrentProcessSystemId を使用して見つけることができます。特定のシステムプロセス ID に対して、対応するエンジンプロセス ID が GetProcessIdBySystemId を使用して見つかる場合があります。

プロセス環境ブロック (PEB)
現在のスレッドの PEB のアドレスは、GetCurrentThreadTeb を使用して見つけることができます。特定の PEB アドレスについては、GetProcessIdByPeb を使用して、対応するエンジンプロセス ID が見つかる場合があります。カーネルモードデバッグでは、(仮想) プロセスの PEB は、最後のイベントが発生したときに実行されていたシステムプロセスの PEB です。

データオフセット
ユーザーデバッグモードでは、(システム) プロセスのデータオフセットは、そのプロセスの PEB の場所です。カーネルモードデバッグでは、(仮想) プロセスのデータオフセットは、最後のイベントが発生したときに実行されていたシステムプロセスの KPROCESS 構造体です。現在のスレッドのデータオフセットは、GetCurrentThreadDataOffset を使用して見つけることができます。特定のデータオフセットに対して、対応するエンジンスレッド ID は GetProcessIdByDataOffset を使用して見つけることができます。

システムハンドル
現在のスレッドのシステムハンドルは、GetCurrentProcessHandle を使用して見つけることができます。特定のシステムハンドルの場合、対応するエンジンスレッド ID は、GetProcessIdByHandle を使用して見つけることができます。カーネルモードデバッグでは、(仮想) プロセスごとに人工ハンドルが作成されます。このハンドルは、デバッガーエンジンクエリでのみ使用できます。

イベント

ライブユーザーモードデバッグでは、スレッドが作成されるか、ターゲットで終了するたびに、スレッドの作成と終了スレッドのデバッグイベントが生成されます。これらのイベントにより、IDebugEventCallbacks::CreateThread および IDebugEventCallbacks::ExitThread コールバックメソッドが呼び出されます。

ライブユーザーデバッグモードでは、プロセスがターゲット内で作成または終了するたびに、create-process および exit-process デバッグイベントが生成されます。これらのイベントにより、IDebugEventCallbacks::CreateProcess および IDebugEventCallbacks::ExitProcess コールバックメソッドが呼び出されます。

イベントの詳細については、「監視イベント」に関するページを参照してください。

追加情報

TEB、KTHREAD、PEB、KPROCESS の構造体を含むスレッドとプロセスの詳細については、David ソロモンと Mark Russinovich による「Microsoft Windows Internals」を参照してください。

次の方法で共有