Re: 请问下张老师如何用windbg终止某个进程中的某个线程

Windows内核调试

请问下张老师如何用windbg终止某个进程中的某个线程

---

jlflyfox 2012-05-11, 15:09 下午

这个线程可能是被远程注入的

这个情景是我用spy++和windbg来调试某个没有源码的进程，结果，突然spy++异常死掉了，

这样，我发现不仅我想调试的进程没有响应，而且所有gui进程都不响应了，包括任务管理器taskmgr

我在cmd下重新启动了一个windbg，然后attach taskmgr，发现有个线程堆栈如下

0:000> kv
ChildEBP RetAddr  Args to Child             
0007f8c4 7c92df5a 7c8025db 000001d4 00000000 ntdll!KiFastSystemCallRet (FPO: [0,0,0])
0007f8c8 7c8025db 000001d4 00000000 00000000 ntdll!NtWaitForSingleObject+0xc (FPO: [3,0,0])
0007f92c 7c802542 000001d4 ffffffff 00000000 kernel32!WaitForSingleObjectEx+0xa8 (FPO: [Non-Fpo])
0007f940 200038f4 000001d4 ffffffff 00000000 kernel32!WaitForSingleObject+0x12 (FPO: [Non-Fpo])
WARNING: Stack unwind information not available. Following frames may be wrong.
0007f95c 20003075 0000002c 00000000 00000000 SpyHk55!SpyxxCallWndRetProc+0x2524
00000000 00000000 00000000 00000000 00000000 SpyHk55!SpyxxCallWndRetProc+0x1ca5

果然是spyxx的远程注入的

我想把它kill掉，不知道该怎么弄？

其实，光这个进程都关系不大，关键是我有个编辑器ultredit，好多数据没有保存？

ps,spy++也太霸道了

 

Re: 请问下张老师如何用windbg终止某个进程中的某个线程

---

Thomson 2012-05-13, 19:15 下午
试试吧ultraedit dump出来，看看里面能不能搜到你的文档吧。

Re: 请问下张老师如何用windbg终止某个进程中的某个线程

---

jlflyfox 2012-05-13, 19:50 下午

谢谢Thomson.

我用windbg attach后，可以找到丢失数据。

现在感觉不爽的是如果下一次遇到这个情况该怎么办

我都打算逆向下spy++，看它是不是消息hook的情况，我自己能不能再度远程线程注入把消息unhook掉

由于很久没有做这方面东东了，所以，我先问下能否终止这个线程

Re: 请问下张老师如何用windbg终止某个进程中的某个线程

---

格蠹老雷 2012-05-17, 13:35 下午

记得Mark的工具（Process monitor之类的）有杀线程的功能，其实自己写一个也不是很麻烦（提升权限，打开进程，枚举线程，然后TerminateThread），主要是杀线程不能解决问题。还是产生dump，从内存中找数据靠谱...

Spy++是使用的模块注入（SPYXXHK.DLL）和消息hook，副作用非常大，使用时要小心

 

Re: 请问下张老师如何用windbg终止某个进程中的某个线程

---

jlflyfox 2012-05-18, 14:07 下午

谢谢张老师.

这次调试,领教了spy++的厉害啊