Windows调试器GetThreadContext返回错误6：无效线程句柄排查

你遇到的错误代码6（无效线程句柄），核心原因是在处理CREATE_PROCESS_DEBUG_EVENT时，错误引用了联合体的无效成员来获取线程句柄，导致存在_threads映射里的是一个无意义的垃圾值，而非真正可用的线程句柄。

具体问题点 #

在你的handle_create_process_debug_event方法中，你写了：

this->_threads[dbgEvent->dwThreadId] = dbgEvent->u.CreateThread.hThread;

但DEBUG_EVENT是一个联合体结构——当事件类型为CREATE_PROCESS_DEBUG_EVENT时，联合体的有效成员是u.CreateProcessInfo，而非u.CreateThread。此时访问u.CreateThread.hThread得到的是未初始化的随机值，并不是真正的线程句柄，这就导致后续调用GetThreadContext时，传入的是一个无效句柄，自然返回错误6。

修正代码 #

把获取线程句柄的代码改成使用CreateProcessInfo中的线程句柄：

void PDbg::handle_create_process_debug_event(DEBUG_EVENT * dbgEvent) {
    printf("Event: Create process, PID: %u, Base address: %p, Start address: %p\n",
           dbgEvent->dwProcessId,
           dbgEvent->u.CreateProcessInfo.lpBaseOfImage,
           dbgEvent->u.CreateProcessInfo.lpStartAddress);

    if (dbgEvent->u.CreateProcessInfo.hFile != NULL) {
        CloseHandle(dbgEvent->u.CreateProcessInfo.hFile);
    }

    this->_processes[dbgEvent->dwProcessId] = dbgEvent->u.CreateProcessInfo.hProcess;
    // 修正这里：使用CreateProcessInfo的hThread，而非CreateThread的成员
    this->_threads[dbgEvent->dwThreadId] = dbgEvent->u.CreateProcessInfo.hThread;
}

额外注意事项 #

1. 句柄权限确认：调试器通过DEBUG_EVENT获取的进程/线程句柄，默认已经包含THREAD_GET_CONTEXT和THREAD_SET_CONTEXT权限，这部分无需额外处理；但如果后续手动打开线程，要确保指定这些权限。
2. 线程状态要求：调用GetThreadContext和SetThreadContext时，目标线程必须处于暂停状态。调试事件触发时线程会自动暂停，所以在处理事件期间操作上下文是安全的，但如果已经调用ContinueDebugEvent恢复线程，就不能再操作上下文了。
3. 句柄生命周期管理：记得在调试结束或线程退出时，正确关闭这些句柄，避免资源泄漏。比如在处理EXIT_THREAD_DEBUG_EVENT或EXIT_PROCESS_DEBUG_EVENT时，从_threads和_processes中移除并关闭对应的句柄。

内容的提问来源于stack exchange，提问作者bielu000