Windows API SetThreadContext无法正确设置EFlags进位标志问题

在Windows x64环境下测试运行机器码时，发现SetThreadContext无法正确将进位标志（CF）应用到线程。修改CONTEXT结构的EFlags（context->EFlags |= 1;）并调用SetThreadContext后，用GDB在线程执行地址断点查看寄存器，发现CF并未被设置，导致adc R15,0指令未按预期将R15加1。

原型代码 #

typedef struct machine_code_t {
    char *machine_code;
    size_t machine_code_size;
} machine_code;

char code_adc[] = "\x49\x83\xD7\x00\xEB\xFA";

#define IM_CODE code_adc
int main(void) {
    CONTEXT *final_context = nullptr;
    HANDLE threadhndle = nullptr;
    CONTEXT *context = nullptr;
    machine_code machineCode = {.machine_code = IM_CODE, .machine_code_size = sizeof(IM_CODE)};
    
    auto func = reinterpret_cast<LPTHREAD_START_ROUTINE>(VirtualAlloc(nullptr, machineCode.machine_code_size,
                                                                      MEM_COMMIT | MEM_RESERVE,
                                                                      PAGE_EXECUTE_READWRITE));
    if (func == nullptr) {
        printf("VirtualAlloc failed\n");
        return 1;
    }
    if (std::memcpy(reinterpret_cast<void *>(func), machineCode.machine_code, machineCode.machine_code_size) ==
        nullptr) {
        printf("memcpy failed\n");
        return 1;
    }
    threadhndle = CreateThread(nullptr, 0, func, nullptr, CREATE_SUSPENDED, &g_targetThreadId);
    if (threadhndle == nullptr) {
        printf("CreateThread failed\n");
        return 1;
    }
    context = (CONTEXT *) calloc(1, sizeof(CONTEXT));
    if (context == nullptr) {
        printf("malloc failed\n");
        return 1;
    }
    context->ContextFlags = CONTEXT_ALL;
    if (GetThreadContext(threadhndle, context) == 0) {
        printf("GetThreadContext failed\n");
        goto clean;
    }
    context->EFlags |= 1; // 设置进位标志（错误：x64下应修改RFlags）
    context->R14 = 100;
    context->ContextFlags = CONTEXT_ALL;
    if (SetThreadContext(threadhndle, context) == 0) {
        printf("SetThreadContext failed\n");
        goto clean;
    }
    if (ResumeThread(threadhndle) == -1) {
        printf("ResumeThread failed\n");
        goto clean;
    }
    Sleep(100);
    if (SuspendThread(threadhndle) == -1) {
        printf("SuspendThread failed\n");
        goto clean;
    }
    final_context = (CONTEXT *) calloc(1, sizeof(CONTEXT));
    if (final_context == nullptr) {
        printf("malloc failed\n");
        goto clean;
    }
    final_context->ContextFlags = CONTEXT_FULL;
    if (GetThreadContext(threadhndle, final_context) == 0) {
        printf("GetThreadContext failed\n");
        goto clean;
    }
    
    printf("Initial R15: %lld\n", context->R15);
    printf("Final R15: %lld\n", final_context->R15);
    
    clean:
    free(context);
    if (final_context != nullptr) free(final_context);
    if (threadhndle != nullptr) CloseHandle(threadhndle);
    if (func != nullptr) VirtualFree(reinterpret_cast<LPVOID>(func), 0, MEM_RELEASE);
    return 0;
}

机器码对应的汇编 #

start:
adc R15, 0
jmp start

问题根源 #

你编写的是x64程序，但错误地修改了CONTEXT结构的EFlags字段——该字段是为兼容32位程序设计的。在x64版本的CONTEXT结构中，64位线程的标志位存储在RFlags字段中，修改EFlags不会对x64线程的实际标志位产生影响。

解决方案 #

将修改EFlags的代码替换为修改RFlags：

context->RFlags |= 1; // 设置进位标志（x64下正确的字段）

同时，确保ContextFlags包含CONTEXT_CONTROL（CONTEXT_ALL已经包含该标志，所以无需额外修改），这样SetThreadContext才会处理标志位的修改。

修改后，线程的CF标志会被正确设置，adc R15,0指令会将R15的值加1，最终输出符合预期。

内容的提问来源于stack exchange，提问作者FireDragon91245