手头有个驱动，因为客户需求的原因，只在x86的2k3和xp系统上做过测试，今天在把它往x64 win7系统移植的时候遇到这么一个问题：
　　在PsSetCreateProcessNotifyRoutine注册的回调函数中，通过FltSendMessage发通知给应用层接收者。在发送“进程退出”事件时FltSendMessage总是会返回STATUS_THREAD_IS_TERMINATING（0xC000004B）。

　　琢磨了一会，找到了问题关键，分析过程如下：

  1. 定位返回STATUS_THREAD_IS_TERMINATING的点

    1: kd> pc
fltmgr!FltSendMessage+0x1bf:
fffff880`011a1ddf call    qword ptr [fltmgr!_imp_FsRtlCancellableWaitForMultipleObjects (fffff880`011a75c8)]

1: kd> p
fltmgr!FltSendMessage+0x1c5:
fffff880`011a1de5 mov     ebx,eax

1: kd> r eax
eax=c000004b

    这里定位到在FltSendMessage函数中是FsRtlCancellableWaitForMultipleObjects这个函数返回的这个错误。

  2. 继续更细致的定位

    ...
nt! ?? ::NNGAKEGL::`string'+0xcb90:
fffff800`0418d031 mov     rax,qword ptr gs:[188h]
fffff800`0418d03a mov     ecx,dword ptr [rax+448h]
fffff800`0418d040 test    cl,1
fffff800`0418d043 jne     nt! ?? ::NNGAKEGL::`string'+0xcc16 (fffff800`0418d0b7)
...
nt! ?? ::NNGAKEGL::`string'+0xcc16:
fffff800`0418d0b7 mov     eax,0C000004Bh
fffff800`0418d0bc jmp     nt!FsRtlCancellableWaitForMultipleObjects+0x69 (fffff800`0416a271)
...

    很幸运，就是FsRtlCancellableWaitForMultipleObjects这个函数返回的STATUS_THREAD_IS_TERMINATING。 （有时候要深入好几层函数调用才能定位到错误码的直接返回者）

  3. 根据2中的汇编码，继续分析

    1: kd> dp gs:[188h]
002b:00000000`00000188  fffffa80`0d168b60 


1: kd> !pool fffffa80`0d168b60  2 
Pool page fffffa800d168b60 region is Nonpaged pool
*fffffa800d168b00 size:  500 previous size:  280  (Allocated) *Thre (Protected)
            Pooltag Thre : Thread objects, Binary : nt!ps

    看来这个地址是个线程结构体。 为了确认这个地址就是线程结构体的开头，再找个线程相关函数来看看吧：

    0: kd> u nt!KeGetCurrentThread
nt!PsGetCurrentThread:
fffff800`03f23f40 mov   rax,qword ptr gs:[188h]
fffff800`03f23f49 ret

    那么不是kthread就是ethread，而汇编码中取值的偏移是0x448，前者大小不对，那看看后者的0x448是什么吧

     1 1: kd> dt nt!_ethread
 2 nt!_ETHREAD
 3    ...
 4    +0x448 CrossThreadFlags : Uint4B
 5    +0x448 Terminated       : Pos 0, 1 Bit
 6    +0x448 ThreadInserted   : Pos 1, 1 Bit
 7    +0x448 HideFromDebugger : Pos 2, 1 Bit
 8    +0x448 ActiveImpersonationInfo : Pos 3, 1 Bit
 9    +0x448 Reserved         : Pos 4, 1 Bit
10    +0x448 HardErrorsAreDisabled : Pos 5, 1 Bit
11    +0x448 BreakOnTermination : Pos 6, 1 Bit
12    +0x448 SkipCreationMsg  : Pos 7, 1 Bit
13    +0x448 SkipTerminationMsg : Pos 8, 1 Bit
14    +0x448 CopyTokenOnOpen  : Pos 9, 1 Bit
15    +0x448 ThreadIoPriority : Pos 10, 3 Bits
16    +0x448 ThreadPagePriority : Pos 13, 3 Bits
17    +0x448 RundownFail      : Pos 16, 1 Bit
18    +0x448 NeedsWorkingSetAging : Pos 17, 1 Bit
19  ...

    对照着汇编码，可以知道在FsRtlCancellableWaitForMultipleObjects函数判断了当前线程的ethread::Terminated（行5）这个域，而在我的调试环境中该域是1，于是FsRtlCancellableWaitForMultipleObjects就返回了STATUS_THREAD_IS_TERMINATING。

　　到这里，已经弄清楚了在什么情况下会出现这个错误。那解决方案也很简单，不赘述。

　　另外，多说两句：

  1. 这个特性是从vista开始引入。
  2. 目的是为了保证线程结束的处理过程中不被卡住。

　　参考资料：