!thread

  • 项目

！thread 扩展显示有关目标系统上线程的摘要信息，包括 ETHREAD 块。 此命令只能在内核模式调试期间使用。

此扩展命令与 .thread (Set Register Context) 命令不同。

语法

!thread [-p] [-t] [Address [Flags]]

参数

-P
显示有关拥有线程的进程的摘要信息。

-t
如果包含此选项， 则地址 是线程 ID，而不是线程地址。

地址
指定目标计算机上的线程的十六进制地址。 如果 地址 为 -1 或省略，则表示当前线程。

标志
指定要显示的详细信息级别。 标志 可以是以下位的任意组合。 如果 标志 为 0，则仅显示最少的信息量。 默认值为0x6：

位 1 (0x2)
显示线程的等待状态。

位 2 (0x4)
如果使用此位而不使用位 1 (0x2) ，则它不起作用。 如果此位与位 1 一起使用，则线程会显示堆栈跟踪。

位 3 (0x8)
将 Itanium 系统上的返回地址、堆栈指针和 () bsp 寄存器值添加到每个函数显示的信息，并禁止显示函数参数。

位 4 (0x10)
设置进程上下文等于在此命令的持续时间内拥有指定线程的进程。 这会导致更准确地显示线程堆栈。

DLL

Kdexts.dll

其他信息

有关内核模式下的线程的信息，请参阅 更改上下文 并 控制进程和线程。 有关分析进程和线程的详细信息，请参阅 Microsoft Windows 内部，作者：Mark Russinovich、Alex Ionescu 和 David 所罗门。

注解

下面是使用 Windows 10 的示例：

0: kd> !thread 0xffffcb088f0a4480            
THREAD ffffcb088f0a4480  Cid 0e34.3814  Teb: 0000001a27ca6000 Win32Thread: 0000000000000000 RUNNING on processor 0
Not impersonating
DeviceMap                 ffffb80842016c20
Owning Process            ffffcb08905397c0       Image:         MsMpEng.exe
Attached Process          N/A            Image:         N/A
Wait Start TickCount      182835891      Ticks: 0
Context Switch Count      5989           IdealProcessor: 3             
UserTime                  00:00:01.046
KernelTime                00:00:00.296
Win32 Start Address 0x00007ffb3b2fd1b0
Stack Init ffff95818476add0 Current ffff958184769d30
Base ffff95818476b000 Limit ffff958184765000 Call 0000000000000000
Priority 8 BasePriority 8 PriorityDecrement 0 IoPriority 2 PagePriority 5
Child-SP          RetAddr           : Args to Child                                                           : Call Site
fffff802`59858c68 fffff801`b56d24aa : ffffcb08`8fd68010 00000000`00000000 fffff802`58259600 00000000`00000008 : nt!DbgBreakPointWithStatus [d:\rs2\minkernel\ntos\rtl\amd64\debugstb.asm @ 130] 
fffff802`59858c70 ffffcb08`8fd68010 : 00000000`00000000 fffff802`58259600 00000000`00000008 ffffcb08`8f0a4400 : 0xfffff801`b56d24aa
fffff802`59858c78 00000000`00000000 : fffff802`58259600 00000000`00000008 ffffcb08`8f0a4400 00000000`00000019 : 0xffffcb08`8fd68010

使用 ！process 等命令查找感兴趣的线程的地址或线程 ID。

下表介绍了 ！thread 显示中的有用信息。

参数 含义

线程地址

THREAD 后面的十六进制数字是 ETHREAD 块的地址。 在前面的示例中，线程地址0xffffcb088f0a4480。

线程 ID

字 Cid 后面的两个十六进制数字是进程 ID 和线程 ID：process ID.thread ID。 在前面的示例中，进程 ID 0x0e34，线程 ID 0x3814。

线程环境块 (TEB)

单词 Teb 后面的十六进制数是线程环境块的地址， (TEB) 。

Win32Thread

Win32Thread 一词后面的十六进制数字是 Win32Thread 的地址。

线程状态

线程状态显示在以 RUNNING 字开头的行末尾。

拥有进程

拥有进程后面的十六进制数字是拥有此线程的进程 EPROCESS 的地址。

起始地址

单词 “开始地址 ”后面的十六进制数字是线程启动地址。 这可能以符号形式显示。

用户线程函数

Win32 起始地址后面的十六进制数字是用户线程函数的地址。

Priority

线程的优先级信息遵循 “优先级”一词。

堆栈跟踪

线程的堆栈跟踪显示在此显示结束时。