如何查询Windows系统中运行线程的参数列表？（Rust/C++）

核心说明 #

Windows系统没有提供公开的官方API直接获取其他进程中线程的启动参数——线程创建时传递给CreateThread/_beginthreadex的参数，仅在线程内部可见，系统不会默认将其暴露给外部进程读取。以下是几种可行的实现思路，均存在一定局限性：

1. 进程内线程参数获取（简单可靠） #

如果是获取自身进程内的线程参数，只需在创建线程时自行保存映射关系即可：

• 维护一个全局容器（比如std::unordered_map<DWORD, PVOID>），将线程ID与启动参数绑定。
• 或者使用线程本地存储（TlsSetValue/TlsGetValue），在线程入口函数中关联参数。

2. 跨进程线程参数获取（依赖线程状态） #

针对其他进程的线程，只能通过读取线程的栈或寄存器来尝试获取参数，仅在线程刚启动且未修改相关内存/寄存器时有效：

步骤1：获取线程与进程句柄 #

首先需要打开目标进程和线程，获取足够权限：

#include <windows.h>
#include <winnt.h>

HANDLE hProcess = OpenProcess(PROCESS_VM_READ | PROCESS_QUERY_INFORMATION, FALSE, dwTargetProcessId);
HANDLE hThread = OpenThread(THREAD_GET_CONTEXT, FALSE, dwTargetThreadId);
if (!hProcess || !hThread) {
    // 处理权限不足或句柄打开失败的情况
    return;
}

步骤2：读取线程上下文并解析参数 #

根据目标系统的架构（x86/x64），线程启动参数的存储位置不同：

针对x86系统

线程启动时，系统会通过RtlUserThreadStart包装函数调用自定义入口，参数会被压入栈中：

CONTEXT ctx = {0};
ctx.ContextFlags = CONTEXT_INTEGER;
GetThreadContext(hThread, &ctx);

// 栈布局：[返回地址] → [入口函数地址] → [启动参数]
ULONG_PTR paramStackAddr = ctx.Esp + 8;
PVOID threadParam = nullptr;
ReadProcessMemory(hProcess, (LPCVOID)paramStackAddr, &threadParam, sizeof(PVOID), nullptr);
// threadParam即为线程启动参数（如果栈未被覆盖）

针对x64系统

x64调用约定下，RtlUserThreadStart的第二个参数（即线程启动参数）会存入RDX寄存器：

CONTEXT ctx = {0};
ctx.ContextFlags = CONTEXT_INTEGER;
GetThreadContext(hThread, &ctx);

// 若线程刚启动，RDX寄存器中保留着启动参数
PVOID threadParam = (PVOID)ctx.Rdx;
// 注意：若线程已执行入口函数代码，RDX可能已被修改，此时需尝试读取栈备份（复杂且不稳定）

3. 内核模式方案（稳定但门槛高） #

如果需要更稳定的获取方式，可以编写Windows内核驱动：

• 在内核中直接访问线程的ETHREAD结构体，其中包含线程启动时的入口地址与参数信息。
• 此方法不受线程执行状态影响，但需要驱动签名，且开发、部署成本较高。

内容的提问来源于stack exchange，提问作者sn99