Приостановить все потоки процесса

Мне надо приостановить процесс. Вопрос вроде уже поднимался, но ответа в той теме я так и не нашел. Понял, что надо приостановить все потоки этого процесса. Подскажите pls как это можно сделать, кусок кода приветствуется.

 

DoZENT

Перехвати SwitchContext и далее если это поток от искомого процесса - то останавливай.

 

NTSTATUS NtSuspendProcess(HANDLE hProcess)
- если под ХР и выше

 

toolhelp + suspendthread

 

Что-то уж слишком сложно для простого поиска всех потоков...

Совместимость с W2k вообще-то хотелось бы оставить. На всякие случай...

Еще такой вопрос по теме: есть драйвер, перехватывающий NtOpenFile. В функции NewNtOpenFile я обрабатываю всякие параметры и на это время торможу текущий поток функцией KeDelayExecutionThread. Так вот, что будет, если в этот момент другой поток этого процесса обратится к этой функции? (NewNtOpenFile). В принципе если он тоже приостановится, то вопросов у меня больше нет. Драйвер ведь исполняется в контексте процесса? Или главного потока процесса?

 

я говорю про ринг0

 

Ну вот опять тема заглохла

 

Ну перебери все потоки процесса, и ZwSuspendThread. Адрес этой функции бери в SDT.

 

Или дергать INT 2E...

 

Это я понимаю, я же написал еще в первом своем посте. КАК мне их перебрать, какой функцией? Извините, если туплю.

 

ThreadListHead в EPROCESS - голова двусвязного списка, который содержит в себе записи (ETHREAD) всех потоков указанного процесса.

 

я бы посоветовал заюзать дебуг-апи
из юзер-мода понятно как
из кернела вроде тоже наверное можно, потрахавшись с лпц-портами
зато! сразу все потоки фризятся по свистку, это вам не перебор списка, а вдруг в этот момент как раз CreateThread()

 

И все-таки не думаю что секс с ЛПЦ-портами лучше перебора.

И что? Во-первых вероятность катастрофически мала. Во-вторых: мы же просто читаем, бсода однозначно не будет. Можно на крайняк перебрать потоки первый раз, попутно их замораживая, а потом перебрать второй раз, для "самоуспокоения"...

 

Код (Text):

1. NTSTATUS NtSuspendThreadById(HANDLE nThreadId){
2.     NTSTATUS rc;
3.     HANDLE hThread;
4.     ULONG nCount;
5.     CLIENT_ID cid = {
6.         (HANDLE)0,
7.         (HANDLE)nThreadId
8.     };
9.  
10.     OBJECT_ATTRIBUTES attr = {
11.         sizeof (OBJECT_ATTRIBUTES),
12.             0,
13.             NULL,
14.             0,
15.             NULL,
16.             NULL
17.     };
18.    
19.     rc = ZwOpenThread(&hThread,THREAD_ALL_ACCESS,&attr,&cid);
20.     if (!NT_SUCCESS(rc)){
21.         return rc;
22.     }
23.    
24.     //rc = NtSuspendThread(hThread,&nCount);
25.     // докончить тут
26.     return rc;
27. }
28.  
29. NTSTATUS NtStopAllThreadsByProcessName(PCWSTR ProcessName){
30.     NTSTATUS rc = STATUS_SUCCESS;
31.     HANDLE hProcess;
32.     PVOID pSystemInfo;
33.     PSYSTEM_PROCESSES_INFORMATION pSysProcesses;
34.     PSYSTEM_THREADS_INFORMATION pSysThreads;
35.     ULONG nSysInfoLength = 0x5f50;
36.     UNICODE_STRING usProcess;
37.     ULONG i;
38.  
39.     RtlInitUnicodeString(&usProcess,ProcessName);
40.    
41.     pSystemInfo = ExAllocatePool(NonPagedPool,nSysInfoLength);
42.     rc = ZwQuerySystemInformation(SystemProcessesAndThreadsInformation,pSystemInfo,nSysInfoLength,&nSysInfoLength);
43.  
44.     while(rc==STATUS_INFO_LENGTH_MISMATCH){
45.         ExFreePool(pSystemInfo);
46.         nSysInfoLength = nSysInfoLength*2;
47.         pSystemInfo = ExAllocatePool(NonPagedPool,nSysInfoLength);
48.         rc = ZwQuerySystemInformation(SystemProcessesAndThreadsInformation,pSystemInfo,nSysInfoLength,&nSysInfoLength);
49.     }
50.    
51.     pSysProcesses = pSystemInfo;
52.     while(pSysProcesses){
53.          if(RtlCompareUnicodeString(&pSysProcesses->ProcessName,&usProcess,TRUE) == 0){
54.             pSysThreads = (PSYSTEM_THREADS_INFORMATION)pSysProcesses->Threads;
55.             break;
56.         }
57.         if (pSysProcesses->NextEntryDelta){
58.             (char *)pSysProcesses += pSysProcesses->NextEntryDelta;
59.         }   else    {
60.             pSysProcesses = NULL;
61.         }
62.     }
63.    
64.     DbgPrint("Threads of process[%d] is [%d]",pSysProcesses->ProcessId,pSysProcesses->ThreadCount);
65.     __asm int 3;
66.  
67.     for( i = 0;i < pSysProcesses->ThreadCount ; i++ ){
68.         rc = NtSuspendThreadById((HANDLE)pSysThreads[i].ClientId.UniqueThread);
69.         if (NT_SUCCESS(rc)){
70.             DbgPrint("Thread suspended %d\n",pSysThreads[i].ClientId.UniqueThread);
71.         }   else    {
72.             DbgPrint("Cant suspend thread %d\n",pSysThreads[i].ClientId.UniqueThread);
73.         }
74.     }
75.  
76.     return rc;
77. }

 

поискать сорцы мс-рема. там всё есть.

 

сорцы какого драйвера?

 

DoZENT

На сайте посмотри приложения к его статьям, там есть то что тебе нужно. Да и написать это не сложно. Проще написать чем столько времени ждать ответа на вопрос

 

Спасибо, посмотрю. Просто пока я жду ответа на этот вопрос, я пишу другие вещи.