线程上下文存储位置及无需修改内核的程序式读取可行性问询

调度程序为每个优先级维护可执行线程队列，这类线程称为就绪线程。当处理器空闲可用时，系统会执行上下文切换，上下文切换的步骤如下：

• 保存刚完成执行的线程的上下文
• 将刚完成执行的线程放入其所属优先级队列的末尾
• 查找存在就绪线程的最高优先级队列
• 取出队列头部的线程，加载其上下文后执行

Windows内核为每个线程创建专属的ETHREAD内核对象，线程上下文就存储在该对象关联的CONTEXT结构中，这块内存位于内核地址空间，默认不对用户态进程开放访问权限。CONTEXT结构会完整保存线程运行时的所有寄存器状态、栈指针、权限标记等执行必需的状态数据，用户态上下文和内核态上下文会分开存储。

不需要修改内核即可通过Windows原生用户态API实现线程上下文读取，操作逻辑如下：

• 调用OpenThread接口打开目标线程，申请THREAD_GET_CONTEXT访问权限
• 调用SuspendThread挂起目标线程，避免读取过程中上下文动态变更导致数据无效
• 初始化本地的CONTEXT结构，按需求指定上下文读取标志位（例如CONTEXT_INTEGER读取通用寄存器、CONTEXT_CONTROL读取控制寄存器）
• 调用GetThreadContext接口，即可将内核中存储的目标线程上下文拷贝到当前进程的用户态内存中
• 读取完成后调用ResumeThread恢复目标线程运行即可

如果需要跨进程读取其他进程的线程上下文，当前进程需要持有SeDebugPrivilege调试权限，否则无法获取目标线程的读取权限。读取当前进程内的线程上下文不需要额外申请特殊权限。

内容的提问来源于stack exchange，提问作者J.Todd