有关STATUS_THREAD_IS_TERMINATING


2012-10-16

手头有个驱动,因为客户需求的原因,只在x86的2k3和xp系统上做过测试,今天在把它往x64 win7系统移植的时候遇到这么一个问题:
  在PsSetCreateProcessNotifyRoutine注册的回调函数中,通过FltSendMessage发通知给应用层接收者。在发送“进程退出”事件时FltSendMessage总是会返回STATUS_THREAD_IS_TERMINATING(0xC000004B)。

  琢磨了一会,找到了问题关键,分析过程如下:

  1. 定位返回STATUS_THREAD_IS_TERMINATING的点

    1: kd> pc
    fltmgr!FltSendMessage+0x1bf:
    fffff880`011a1ddf call    qword ptr [fltmgr!_imp_FsRtlCancellableWaitForMultipleObjects (fffff880`011a75c8)]
    
    1: kd> p
    fltmgr!FltSendMessage+0x1c5:
    fffff880`011a1de5 mov     ebx,eax
    
    1: kd> r eax
    eax=c000004b
    

    这里定位到在FltSendMessage函数中是FsRtlCancellableWaitForMultipleObjects这个函数返回的这个错误。

  2. 继续更细致的定位

    ...
    nt! ?? ::NNGAKEGL::`string'+0xcb90:
    fffff800`0418d031 mov     rax,qword ptr gs:[188h]
    fffff800`0418d03a mov     ecx,dword ptr [rax+448h]
    fffff800`0418d040 test    cl,1
    fffff800`0418d043 jne     nt! ?? ::NNGAKEGL::`string'+0xcc16 (fffff800`0418d0b7)
    ...
    nt! ?? ::NNGAKEGL::`string'+0xcc16:
    fffff800`0418d0b7 mov     eax,0C000004Bh
    fffff800`0418d0bc jmp     nt!FsRtlCancellableWaitForMultipleObjects+0x69 (fffff800`0416a271)
    ...
    

    很幸运,就是FsRtlCancellableWaitForMultipleObjects这个函数返回的STATUS_THREAD_IS_TERMINATING。 (有时候要深入好几层函数调用才能定位到错误码的直接返回者)

  3. 根据2中的汇编码,继续分析

    1: kd> dp gs:[188h]
    002b:00000000`00000188  fffffa80`0d168b60 
    
    
    1: kd> !pool fffffa80`0d168b60  2 
    Pool page fffffa800d168b60 region is Nonpaged pool
    *fffffa800d168b00 size:  500 previous size:  280  (Allocated) *Thre (Protected)
                Pooltag Thre : Thread objects, Binary : nt!ps
    

    看来这个地址是个线程结构体。 为了确认这个地址就是线程结构体的开头,再找个线程相关函数来看看吧:

    0: kd> u nt!KeGetCurrentThread
    nt!PsGetCurrentThread:
    fffff800`03f23f40 mov   rax,qword ptr gs:[188h]
    fffff800`03f23f49 ret
    

    那么不是kthread就是ethread,而汇编码中取值的偏移是0x448,前者大小不对,那看看后者的0x448是什么吧

     1 1: kd> dt nt!_ethread
     2 nt!_ETHREAD
     3    ...
     4    +0x448 CrossThreadFlags : Uint4B
     5    +0x448 Terminated       : Pos 0, 1 Bit
     6    +0x448 ThreadInserted   : Pos 1, 1 Bit
     7    +0x448 HideFromDebugger : Pos 2, 1 Bit
     8    +0x448 ActiveImpersonationInfo : Pos 3, 1 Bit
     9    +0x448 Reserved         : Pos 4, 1 Bit
    10    +0x448 HardErrorsAreDisabled : Pos 5, 1 Bit
    11    +0x448 BreakOnTermination : Pos 6, 1 Bit
    12    +0x448 SkipCreationMsg  : Pos 7, 1 Bit
    13    +0x448 SkipTerminationMsg : Pos 8, 1 Bit
    14    +0x448 CopyTokenOnOpen  : Pos 9, 1 Bit
    15    +0x448 ThreadIoPriority : Pos 10, 3 Bits
    16    +0x448 ThreadPagePriority : Pos 13, 3 Bits
    17    +0x448 RundownFail      : Pos 16, 1 Bit
    18    +0x448 NeedsWorkingSetAging : Pos 17, 1 Bit
    19  ...
    

    对照着汇编码,可以知道在FsRtlCancellableWaitForMultipleObjects函数判断了当前线程的ethread::Terminated(行5)这个域,而在我的调试环境中该域是1,于是FsRtlCancellableWaitForMultipleObjects就返回了STATUS_THREAD_IS_TERMINATING。

  到这里,已经弄清楚了在什么情况下会出现这个错误。那解决方案也很简单,不赘述。

  另外,多说两句:

  1. 这个特性是从vista开始引入。
  2. 目的是为了保证线程结束的处理过程中不被卡住。

  参考资料: