了解一下线程结构体。那么，在上一节课呢？我们讲过了哈，每一个进程呢，在零环它都有一个非常重要的结构体，叫1 process一个进程一个。那同样的道理，一个进程里边呢，可能有多个线程。那无论你有多少个线程，只要有一个线程，都会有一个与该线程相对应的一个零环的结构体叫eprocess。比如说当前的这个系统中，运行着十个进程，每个进程里边有十个线程，那就会有十个eprocess结构体在内存中。通过一个双向链表串起来，那么会有100个ethread这个结构体在内存中，对吧？这就是我们这节课要讲的线程结构体，那换句话说呢，与线程相关的所有重要的信息全会在这个结构体里边。我们学进程结构体，学线程结构体学，它的目的是了解这些结构体大概的成员是怎么回事，然后呢，在后续分析内核代码的时候呢，你就能知道内核代码为什么要这样写了？

好，那我们看一下这个e spread啊：

在wind bug里边呢，如果要想看这个is red结构体的话一样的使用dt指令来看。

我这个写错了。复制一下吧。dt杠。大家看一下这个es的结构体也是非常大的。进程结构体的时候，我们知道这个process结构体，它第一个成员呃，有一个叫KTHREAD结构体。那么，线程结构体也是一样的，线程结构体e spread它的第一个成员，也是一个子结构体，叫kThread。

那我们接下来呢，了解一下ks，write这个结构体都有哪些东西：

大家看呃ks write的第一个成员。叫什么呢？叫header它的类型呢？叫dispatcher header，我之前跟大家提过了哈，只要你当前因为内核对象可能有很多，比如说进程。是一种内核对象线程，是一种内核对象互斥体，是一种内核对象事件，是一种内核对象等等。很多很多，那么只要是内核对象在内核中呢，都会对应一个结构体就跟进程这个内核对象，它有个进程的结构体呢叫？叫e process线程呢？有个e thread对吧？那么，这些结构体如果是以dispatch hander开头的，只要是以这个开头的。那么都可以称，为什么都可以称为等待对象？这个可等待对象呢？就有一个特点，只要是可等待对象就都可以用wait for single object。这个函数来等待它。那我们后边呢，有专题来讲解。我们继续看，那么在kthread的成员的18、1c和28这几个位置，大家可以看一下dt。case red.幺八。幺八幺c。还有二八这几个位置，这几个位置跟什么呢？跟一个线程零环的堆栈有关系，什么叫一个线程零环的堆栈，

我们学断页的时候大家都做过中断门。或者调用门，当你通过提权的方式进入零环的时候，你们回想一下，进入零环以后呢，堆栈会被切换掉的。换成一个零环的栈，那这个零环的栈是谁提供的呢？大家都知道，说是tss提供的，对不对？那么tss里边这个值哪来的？我有十个线程，我这十个线程用的零环的堆栈是一样的吗？那肯定不是一样的，对不对？那每一个线程都会有自己的一个零环的堆栈。那么，在线程切换的时候呢？tss只有一份，tss里边存储的那个esp，也就是零环的堆栈的值，永远都是当前线程的。每个线程有个结构体，每个线程都有个零环的栈，那么tss只有一份，哪个线程正在跑就把哪个线程的零环的结构体放到tss里，这样的话中断门或者调用门的时候呢，得到的那个值得到的那个零环的栈一定是你当前这个线程的零环的栈，所以呢，大家要理解这几个线程呢，就跟灵魂的站。有关系线程切换的时候呢，这几个值我们还会用。

TeB大家回想在进程结构体process 1 process里边呢，它有一个成员指向了PCB，对吧？指向了呃呃，指向了peb啊peb peb叫进程环境块，那么是一个三环的结构体，描述了当前进程的一些信息。那同样的哈线程，大家发现没有线程，也有两个两个结构体来描述线程，一个结构体在零环叫ethread，就是我们现在介绍的这个结构体。还有一个结构体呢，叫TeB。线程环境块，它也是用来描述当前的线程的，那么区别就是什么零环的这个结构体是给操作系统用的。三环的这个结构体是给应用程序用的，如果你想通过程序来看一看当前的线程有哪些呃，有哪些特征，对吧？有什么问题呃，有有什么你想了解的一些属性？比如说我想知道这个当前线程的栈顶和栈底在哪啊之类的，这种信息对吧？我们就可以通过TeB的方式。来找到。那么，这里边需要注意的是什么呢？teb啊teb，我怎么找teb呢？我们看呃在零环的这个结构体里边的20的这个位置能找到teb，但是如果我进不了零环，我在应用层，我能不能找到teb呢？是可以的。因为在我们没有进三环，没有进零环之前，在三环的时候fs这个寄存器，它指向的就是TeB。所以呢，你只要fs冒号零，你找到的对应的就已经是TB的首地址了，对吧？找到TeB就找到了peb，因为teb里边的一个偏移，就可以通过这个偏移找到peb，那找到peb了。可以通过PB来遍历当前这个进程一共有多少个模块等等这些信息？那这就是teb啊。我们继续往下看。

2c的这个位置呢，叫debug active这个位置的值，如果是-1的话，那么就不能使用调试寄存器，也就是你不能使用dr 0到dr 7。这是debug active这个成员。你当前的线程如果正在被调试的话，那这个值它就不是-1，否则呢，就是-1。然后呢？我们再往下看，我现在给大家介绍的呢，都是什么ethread的这个结构体里边的，它的第一个成员叫kthread的。kthread里边包含的这些成员，对吧？那么，34、e8、138、还有14c这几个APC相关的这几个东西呢？我们后边会有专题APC专题。来讲解什么是APC这些成员，他都有什么用？现在呢？你只是简单了解一下，知道他是APC相关的就完了。然后呢？在2d这个位置0x2d的这个位置存储了一个值，它就一个字节，那这里边的一个字节呢？表示了当前的线程处于什么样的状态，你是就绪呢？还是等待呢，还是运行呢，对吧？通过这个值都可以看出来。我们再往下看。

kthread的结构体里边在6c的这个位置呢，也有一个基础的线程的优先级，大家知道这个进程结构体里边有一个优先级了，对吧？那这个呢，叫线程优先级，这个初始值呢，就是所属进程的这个这个值。所属进程的这个值是多少线程里边的这个值它就是多少，如果你要想改这个值呢，就可以通过kesetbaseprioritythread这种函数来重新设定。所以现在大家应该知道这种函数实际上修正的是什么，修正的就是这个kthread结构体里边的这个basepriority成员。那好了，我们再看70的位置，70的位置呢，叫weight block，weight block里边是一个数组，这个数组呢？有四个成员什么意思？大家都写过这个wait for singleobject这种函数对吧？当你的线程当你当你当你的线程里边，你在a线程里边。你调用了wait for single object或者wait for multiple object，等待了另外的一个一个内核对象，比如说是b对象。那okay了，你这个b对象呢，就会被记录到这个位置。那换句话说，我如果想看当前线程，一共等待了几个对象，我只要找到k three的70的位置看看这个_KWAIT_BLOCK里边的成员，我就知道你现在在等待谁。对吧，你在等待哪个对象？这是它七零的位置。然后e0的位置，我们已经很熟悉了，之前我们做API进流环的时候，大家已经了解过了e0，指向的是service table，就是指向系统服务表的基址。

k thread的134的这个位置叫trap frame，trap frame是干什么的？当我们的程序，当我们的线程执行的时候，从三环进到零环的时候。那三环原来的那些寄存器存在哪里了？对吧？都存到一个叫trap frame的一个结构体里了，那你想一想，我现在有十个线程，十个线程，一个结构体够吗？肯定不够啊，那肯定是一个线程，有需要有这样的一个结构体对吧？所以呢？k thread的幺三四的这个位置指向的实际上就是你当前线程自己的trap frame，这个里边这个结构体的作用就是保留当前线程进入零环时的三环的那些寄存器的值。幺四零的位置是先前模式，先切模式，我之前跟大家已经讲过了，对吧？就是某些内核函数呢，它会判断调用我的这个程序，调用我的这个线程是零环调用还是三环调用，通过什么来判断呢？就是通过这个先前模式。呃，看一下幺b0幺b0，它是一个双向链表，大家回想在进程结构体里边呢，有一个双向链表，这个双向链表呢，穿着当前操作系统里边所有活动中的进程。那么一个进程呢？可能有多个线程。那这个链表呢？就是它也是一个双向链表啊，这个双向链表就是圈着当前进程里边所有的线程。大家想一想呃，一个进程，我如果得到了进程结构体，就意味着我得到了，我已经知道了你这个进程里边到底有多少个线程了，对不对？我通过这块遍历一下。就可以了，看这个图：

在进程结构体的0x50和0x54的这个位置，0x50的位置存储的值指向的是谁呢？指向的是0x1B0。你比如说有一个进程，它有三个线程，那么就会形成这样的一个圈状的结构，在进程结构体五零指向了第一个线程。然后第一个线程的幺b0指向第二个线程，第二个线程的幺b0指向第三个线程，对吧？第三个线程的幺b0又指回了进程结构体的五零的这个位置。所以呢，一个进程结构体里边进程结构体里边通过这个链表把所有的线程全圈起来了。对吧，圈起来了，这个呢，就是刚才我说的幺b0的这个成员，这个成员是谁的？谁里边的是k three的结构体里的k three的结构体里边？呃，有一个这样的双向链表。然后呢？ks wide的成员介绍完了k呃这个1s wide结构体里边最重要的成员，实际上就是ks wide。很多有用的信息都在这个里边。那么我们再看一下一次外的结构体，除了k次外的以外，还有哪些其他的比较重要的成员？

大家可以看一下e次外的0x1ec的这个位置：

这个位置也很有用，腰腰ec找一找腰ec在哪里？在这呢，这个幺1c是啥呢？大家都知道进程结构体有个PID对吧？代表当前进程的一个编号。那么线程呢，也有一个自己的编号叫cid。那这个cid里边存储的就是当前线程的编号，而且它存储的还不止当前线程的编号，它存了两个值。这个值呢，就是当前线程的编号，也就是我们说的那个cid。那么，它还有一个值，就是你当前这个进程的编号是什么？所以大家做过昨天之前呃，留给大家留的那个隐隐藏。进程的那个练习了哈，其实你隐藏进程有用吗？没有用，我说只能欺负小白嘛，如果你把进程藏起来了，就算你藏起来了，你线程如果没藏好不一样，完蛋吗？对不对？

我我得到当前线程了，我只要遍历线程，这个地方我立马就找到你这个线程属于哪个进程了？好了，那我们继续看。这个是幺幺ec这个位置啊，那么二二零的这个位置，二二零的这个位置存储了一个四个字节的一个。一个地址，这个地址指向的就是当前线程所属的那个进程是谁？你看各种地方都有雷，你只把进程隐进程进程隐藏起来有什么用呢？你看看这个k这个e spread二零的位置。二二零的位置，比如说我现在我现在遍历这个线程的这个结构体，我遍历线程的结构体，我找只要找到二二零，我是不是通过这我就找到你，当前就算你藏起来了，我也我也能找到。我通过这也能找到你的这个线程，所属的进程的进程结构体。对吧，千丝万缕的联系。那么我们再看22c啊，22c也有一个双向链表，22c的双向链表就是这个图里边的第二个部分，对吧？线程结构体里边的22c，它指向了下一个线程的rc，那么这两个圈是一样的。一样的，只不过是什么呢？圈的位置不一样，那大家可能不理解，说这个说这个为什么整两个圈呢？整两个圈主要目的就是方便。你看第一个圈，第一个圈圈在哪里的？第一个圈是ks wide里的，大家不要忘了ks wide里边有个双向链表对吧？那么第二个圈是谁？第二个圈是es wide里边的rc。这个位置，这个rc在一次里，所以两个圈主要目的就是方便两里边的内容完全一样，但是呢，在进程结构体里边的位置是不一样的。第一个圈圈到进程结构体里边的五零和五四的这个位置，第二个链表圈呢是在进程结构体的幺九零和幺九四的位置。大家做实验的时候要把这两个圈全做一遍。呃，那么我在这里边呢，再给大家呃留一道思考题，你们可以想一想，比如说。操作系统里边里边有个双向链表圈着所有的进程。对吧，如果我们把这个链表呃给它断掉的话呢，那么通常的一些API就找不到这个进程了。对吧，比如说我们有的时候用od附加某个游戏之类的时候啊，发现那个od打开的时候根本就看不到这个进程。是这这种这种方式呢，实现了一个所谓的进程的隐藏，当然了，这种隐藏是非常初级的，对吧？那么，再有比如说我们这节课讲了线程结构体了，线程结构体，我们现在大家也明白了哈，一个进程里边有多少个线程都在这两个圈里圈着呢？那么，我如果把这里边的某一个线程把它给断了的话，那首先大家思考一下，第一，如果把它给断了，我们在。呃，在这种od里边看当前进程有多少个线程的时候，或者在wind bug里边看当前进程有多少个线程的时候，还能不能看到？对吧，这是第一个思考题。第二个思考题就是。如果看不到了，你这个线程是不死掉了，还能不能执行了？对吧，那这些思考题呢，大家都需要做实验，做完实验你就有答案了。好了，这个线程结构体呢，我们就介绍到这还有很多很多结构体呢，我在这个这个课件里边根本就没有写。那等我们真正分析到的时候，分析到具体的呃相关的结构体的时候呢，我们再具体细说。好，这节课就的内容呢就。