Я создаю процесс, используя CreateProcess() с CREATE_SUSPENDED, а затем создаю небольшой фрагмент кода внутри удаленного процесса для загрузки DLL и вызова функции (экспортируемой этой DLL), используя VirtualAllocEx() (с ..., MEM_RESERVE | MEM_COMMIT, PAGE_EXECUTE_READWRITE), WriteProcessMemory(), затем вызываю FlushInstructionCache() на том участке памяти с кодом.
После этого я вызываю CreateRemoteThread(), чтобы вызвать этот код, создавая мне hRemoteThread. Я убедился, что удаленный код работает должным образом. Примечание. этот код просто возвращает, он не вызывает никаких API, кроме LoadLibrary() и GetProcAddress(), с последующим вызовом экспортируемой функции-заглушки, которая в настоящее время просто возвращает значение, которое затем будет передано как статус выхода для нить.
Теперь следует любопытное наблюдение: помните, что PROCESS_INFORMATION::hThread все еще приостановлен. Когда я просто игнорирую код выхода hRemoteThread и не жду его выхода, все идет "нормально". Подпрограмма, которая вызывает CreateRemoteThread(), возвращается, и PROCESS_INFORMATION::hThread возобновляется, и (удаленная) программа фактически запускается.
Однако, если я позвоню WaitForSingleObject(hRemoteThread, INFINITE) или сделаю следующее (что даст тот же эффект):
DWORD exitCode = STILL_ACTIVE;
while(STILL_ACTIVE == exitCode)
{
Sleep(500);
if(!GetExitCodeThread(hRemoteThread, &exitCode))
break;
}
за которым следует CloseHandle(), это приводит к завершению hRemoteThread до возобновления PROCESS_INFORMATION::hThread, и процесс просто «исчезает». Достаточно позволить hRemoteThread каким-то образом завершить работу без PROCESS_INFORMATION::hThread, чтобы процесс умер.
Это подозрительно похоже на состояние гонки, поскольку при определенных обстоятельствах hRemoteThread может быть быстрее, и процесс, скорее всего, все равно «исчезнет», даже если я оставлю код как есть.
Означает ли это, что первый поток, который запускается внутри процесса, автоматически становится основным потоком и что для этого основного потока существуют особые правила?
У меня всегда было впечатление, что процесс завершается, когда умирает его последний поток, а не когда умирает конкретный поток.
Также обратите внимание: здесь никоим образом не задействован вызов ExitProcess(), потому что hRemoteThread просто возвращается, а PROCESS_INFORMATION::hThread все еще приостанавливается, когда я жду, пока hRemoteThread вернется.
Это происходит в 32-битной Windows XP SP3.
Изменить: Я только что попробовал Sysinternals Process Monitor, чтобы увидеть, что происходит, и смог проверить свои предыдущие наблюдения. Введенный код не падает или что-то в этом роде, вместо этого я вижу, что если я не дождусь потока, он не завершится, прежде чем я закрою программу, в которую был введен код. Думаю, нужно ли отложить звонок на CloseHandle(hRemoteThread) или что-то в этом роде ...
Изменить + 1: это не CloseHandle(). Если я оставлю это только для теста, поведение не изменится при ожидании завершения потока.
