我们知道，windows内核中的执行体层负责各种与管理和策略相关的功能，而内核层(微内核)实现了操作系统的核心机制。进程和线程在这两层上都有对应的数据结构。我们先从执行体层的ETHREAD开始。

kd> dt _ethread 80553740
ntdll!_ETHREAD+0x000 Tcb              : _KTHREAD+0x1c0 CreateTime       : _LARGE_INTEGER 0x0+0x1c0 NestedFaultCount : 0y00+0x1c0 ApcNeeded        : 0y0+0x1c8 ExitTime         : _LARGE_INTEGER 0x0+0x1c8 LpcReplyChain    : _LIST_ENTRY [ 0x0 - 0x0 ]+0x1c8 KeyedWaitChain   : _LIST_ENTRY [ 0x0 - 0x0 ]+0x1d0 ExitStatus       : 0+0x1d0 OfsChain         : (null) +0x1d4 PostBlockList    : _LIST_ENTRY [ 0x0 - 0x0 ]+0x1dc TerminationPort  : (null) +0x1dc ReaperLink       : (null) +0x1dc KeyedWaitValue   : (null) +0x1e0 ActiveTimerListLock : 0+0x1e4 ActiveTimerListHead : _LIST_ENTRY [ 0x0 - 0x0 ]+0x1ec Cid              : _CLIENT_ID+0x1f4 LpcReplySemaphore : _KSEMAPHORE+0x1f4 KeyedWaitSemaphore : _KSEMAPHORE+0x208 LpcReplyMessage  : (null) +0x208 LpcWaitingOnPort : (null) +0x20c ImpersonationInfo : (null) +0x210 IrpList          : _LIST_ENTRY [ 0x0 - 0x0 ]+0x218 TopLevelIrp      : 0+0x21c DeviceToVerify   : (null) +0x220 ThreadsProcess   : (null) +0x224 StartAddress     : (null) +0x228 Win32StartAddress : (null) +0x228 LpcReceivedMessageId : 0+0x22c ThreadListEntry  : _LIST_ENTRY [ 0x0 - 0x0 ]+0x234 RundownProtect   : _EX_RUNDOWN_REF+0x238 ThreadLock       : _EX_PUSH_LOCK+0x23c LpcReplyMessageId : 0+0x240 ReadClusterSize  : 0+0x244 GrantedAccess    : 0x1f03ff+0x248 CrossThreadFlags : 0+0x248 Terminated       : 0y0+0x248 DeadThread       : 0y0+0x248 HideFromDebugger : 0y0+0x248 ActiveImpersonationInfo : 0y0+0x248 SystemThread     : 0y0+0x248 HardErrorsAreDisabled : 0y0+0x248 BreakOnTermination : 0y0+0x248 SkipCreationMsg  : 0y0+0x248 SkipTerminationMsg : 0y0+0x24c SameThreadPassiveFlags : 0+0x24c ActiveExWorker   : 0y0+0x24c ExWorkerCanWaitUser : 0y0+0x24c MemoryMaker      : 0y0+0x250 SameThreadApcFlags : 0+0x250 LpcReceivedMsgIdValid : 0y0+0x250 LpcExitThreadCalled : 0y0+0x250 AddressSpaceOwner : 0y0+0x254 ForwardClusterOnly : 0 ''+0x255 DisablePageFaultClustering : 0 ''

typedef struct _ETHREAD
{KTHREAD Tcb;LARGE_INTEGER CreateTime;union {LARGE_INTEGER ExitTime;LIST_ENTRY LpcReplyChain;LIST_ENTRY KeyedWaitChain;};union {NTSTATUS ExitStatus;PVOID OfsChain;};LIST_ENTRY PostBlockList; union {  PTERMINATION_PORT TerminationPort; struct _ETHREAD *ReaperLink; PVOID KeyedWaitValue; };KSPIN_LOCK ActiveTimerListLock;LIST_ENTRY ActiveTimerListHead;CLIENT_ID Cid;union {KSEMAPHORE LpcReplySemaphore;KSEMAPHORE KeyedWaitSemaphore;};union {PVOID LpcReplyMessage;          // -> Message that contains the reply
        PVOID LpcWaitingOnPort;}; PPS_IMPERSONATION_INFORMATION ImpersonationInfo; LIST_ENTRY IrpList; ULONG_PTR TopLevelIrp;  // either NULL, an Irp or a flag defined in FsRtl.hstruct _DEVICE_OBJECT *DeviceToVerify;PEPROCESS ThreadsProcess;PVOID StartAddress;union {PVOID Win32StartAddress;ULONG LpcReceivedMessageId;}; LIST_ENTRY ThreadListEntry; EX_RUNDOWN_REF RundownProtect;EX_PUSH_LOCK ThreadLock;ULONG LpcReplyMessageId;    // MessageId this thread is waiting for reply to
ULONG ReadClusterSize; ACCESS_MASK GrantedAccess;    union { ULONG CrossThreadFlags; struct {ULONG Terminated              : 1;ULONG DeadThread              : 1;ULONG HideFromDebugger        : 1;ULONG ActiveImpersonationInfo : 1;ULONG SystemThread            : 1;ULONG HardErrorsAreDisabled   : 1;ULONG BreakOnTermination      : 1;ULONG SkipCreationMsg         : 1;ULONG SkipTerminationMsg      : 1;};}; union {ULONG SameThreadPassiveFlags;struct { ULONG ActiveExWorker : 1;ULONG ExWorkerCanWaitUser : 1;ULONG MemoryMaker : 1; ULONG KeyedEventInUse : 1;};};union{ULONG SameThreadApcFlags;struct {  BOOLEAN LpcReceivedMsgIdValid : 1;BOOLEAN LpcExitThreadCalled   : 1;BOOLEAN AddressSpaceOwner     : 1;BOOLEAN OwnsProcessWorkingSetExclusive  : 1;BOOLEAN OwnsProcessWorkingSetShared     : 1;BOOLEAN OwnsSystemWorkingSetExclusive   : 1;BOOLEAN OwnsSystemWorkingSetShared      : 1;BOOLEAN OwnsSessionWorkingSetExclusive  : 1;BOOLEAN OwnsSessionWorkingSetShared     : 1; BOOLEAN ApcNeeded                       : 1;};};BOOLEAN ForwardClusterOnly;BOOLEAN DisablePageFaultClustering;UCHAR ActiveFaultCount;
} ETHREAD, *PETHREAD;

+0x000 Tcb              : _KTHREAD

VOID ExitThread(DWORD dwExitCode);

LIST_ENTRY LpcReplyChain;
LIST_ENTRY KeyedWaitChain;

(回想还有多少种其他的进程间通信机制)1) 互斥体(mutex)
2) 信号量(samaphore)
3) 锁(lock)
4) 临界区(critical section)
5) 自旋锁(spinlock)和忙等待
6) 消息//关于进程/线程间的"通信"机制的详细内容请参考《windows 内核原理与实现》5.1 章
(其实同步机制也算通信机制的一种，只不过侧重点不同，同步机制有其他更好的方法)

它在windows中的主要应用场景如下:1) windows应用程序与系统进程，包括windows环境子系统之间的通信。这通常发生在一些windows API函数的内部
2) 用户模式程序与内核模式组件之间的通信。比如lsass(Local Security Authority SubSystem)进程与安全引用监视器(SRM Security Reference Monitor)之间的通信就是通过LPC来完成的
3) 当RPC(远过程调用 Remote Procedure Call)的"两端(LPC是一个C/S模型)"在同一个系统中时，RPC通信会自动转化为LPC

PVOID DebugPort;
PVOID ExceptionPort; 

1. 服务器进程创建一个LPC"连接端口"对象，然后在该"连接端口"上监听连接请求。2. 客户进程根据已知的端口名称，请求连接到此端口对象上3. 当服务器收到连接请求时，它创建一个"通信端口"对象，用以代表与"该客户进程(一个LPC的服务端可以同时和多个客户端交互)"之间的LPC连接4. 而客户进程也会创建一个LPC"通信端口"对象，代表它与服务器进程之间的LPC连接5. 连接端口对象有名称，通信端口对象没有名称，它们是私有对象(这也很好理解，通信端口是临时的，而连接端口必须常在)，所以，除了服务器进程和客户进程通过"通信端口句柄"来访问它们以外，其他进程是无法访问的(思考原因: 因为句柄是进程私有的，同一个句柄值在不同进程空间是不同的，所以只能本进程来使用这个通信端口句柄)6. LPC连接端口对象属于服务器进程，它们有公开的名称，通常被加入到系统的"对象管理器目录"中，所以，其他进程可以通过"名称"访问它们，从而建立起单独的LPC连接。

typedef struct _CM_POST_BLOCK
{
#if DBG BOOLEAN                     TraceIntoDebugger;
#endif LIST_ENTRY                  NotifyList; LIST_ENTRY                  ThreadList; LIST_ENTRY                  CancelPostList; // slave notifications that are attached to this notification struct _CM_POST_KEY_BODY    *PostKeyBody; ULONG                       NotifyType; PCM_POST_BLOCK_UNION        u;
} CM_POST_BLOCK, *PCM_POST_BLOCK; 

KSPIN_LOCK ActiveTimerListLock;
LIST_ENTRY ActiveTimerListHead;

typedef struct _CLIENT_ID
{PVOID UniqueProcess;PVOID UniqueThread;
} CLIENT_ID, *PCLIENT_ID;

(每个内核对象都是以句柄的形式在其他内核对象的句柄表中存在的，关于内核对象及其句柄的定义请参阅《windows 核心编程》 3章 内核对象。  关于句柄表的相关知识请参阅学习笔记(2))

union
{KSEMAPHORE LpcReplySemaphore;KSEMAPHORE KeyedWaitSemaphore;
};union
{LPC_MESSAGE LpcReplyMessage;          // -> Message that contains the reply
     PVOID LpcWaitingOnPort;
}; 

typedef struct _KSEMAPHORE
{DISPATCHER_HEADER Header;LONG Limit;
} KSEMAPHORE, *PKSEMAPHORE;

//Structure LPC_MESSAGE it's a header for all LPC messages. Any LPC message must contains at least 0x18 bytes length for LPC_MESSAGE header.
typedef struct _LPC_MESSAGE
{USHORT                  DataLength;USHORT                  Length;USHORT                  MessageType;USHORT                  DataInfoOffset;CLIENT_ID               ClientId;ULONG                   MessageId;ULONG                   CallbackId;
} LPC_MESSAGE, *PLPC_MESSAGE;

#define LpcpGetThreadMessage(T)                                                  \(                                                                            \(((ULONG_PTR)(T)->LpcReplyMessage) & LPCP_PORT_BIT) ? NULL :             \(PLPCP_MESSAGE)((ULONG_PTR)(T)->LpcReplyMessage & ~LPCP_THREAD_ATTRIBUTES)      \)#define LpcpGetThreadPort(T)                                                     \(                                                                            \(((ULONG_PTR)(T)->LpcReplyMessage) & LPCP_PORT_BIT) ?                    \(PLPCP_PORT_OBJECT)(((ULONG_PTR)(T)->LpcWaitingOnPort) & ~LPCP_THREAD_ATTRIBUTES):     \NULL                                                                 \)

ImpersonationInfo  字段： 保存了身份模仿信息的指针(访问令牌和模仿级别，如果该线程正在模仿一个客户的话)

1) 指向NULL
2) 指向一个IRP
3) 包含了fsrtl.h中定义的标记FSRTL_FAST_IO_TOP_LEVEL_IRP或FSRTL_FSP_TOP_LEVEL_IRP

typedef struct _DEVICE_OBJECT
{SHORT Type;WORD Size;LONG ReferenceCount;PDRIVER_OBJECT DriverObject;PDEVICE_OBJECT NextDevice;PDEVICE_OBJECT AttachedDevice;PIRP CurrentIrp;PIO_TIMER Timer;ULONG Flags;ULONG Characteristics;PVPB Vpb;PVOID DeviceExtension;ULONG DeviceType;CHAR StackSize;BYTE Queue[40];ULONG AlignmentRequirement;KDEVICE_QUEUE DeviceQueue;KDPC Dpc;ULONG ActiveThreadCount;PVOID SecurityDescriptor;KEVENT DeviceLock;WORD SectorSize;WORD Spare1;PDEVOBJ_EXTENSION DeviceObjectExtension;PVOID Reserved;
} DEVICE_OBJECT, *PDEVICE_OBJECT;

#define THREAD_TO_PROCESS(Thread) ((Thread)->ThreadsProcess)

1) EPROCESS->ThreadListHead: 指向当前进程所属线程的ETHREAD链表2) KPROCESS->ThreadListHead: 指向当前进程所属线程的KTHREAD链表3) ETHREAD->ThreadsProcess:  指向当前线程所属的进程的EPROCESS链表4) KTHREAD->Process: 指向当前线程所属的进程的KPROCESS链表

HANDLE CreateThread(LPSECURITY_ATTRIBUTES lpThreadAttributes, //线程安全属性DWORD dwStackSize, // 堆栈大小LPTHREAD_START_ROUTINE lpStartAddress, // 线程函数，即入口地址LPVOID lpParameter, //线程参数DWORD dwCreationFlags, // 线程创建属性LPDWORD lpThreadId // 线程ID
);

//要注意的是:
由于LpcReceivedMessageId和Win32StartAddress域组成了一个union:
union
{PVOID Win32StartAddress;ULONG LpcReceivedMessageId;
}; 

(可以想到可以利用这个域成员来进行进程中的线程枚举，我们会在之后的进程/线程枚举学习笔记中看到)

typedef struct _EX_RUNDOWN_REF
{union{ULONG Count;PVOID Ptr;};
} EX_RUNDOWN_REF, *PEX_RUNDOWN_REF;

typedef struct _EX_PUSH_LOCK
{union{ULONG Locked: 1;ULONG Waiting: 1;ULONG Waking: 1;ULONG MultipleShared: 1;ULONG Shared: 28;ULONG Value;PVOID Ptr;};
} EX_PUSH_LOCK, *PEX_PUSH_LOCK;

我在学习《寒江独钓》8章 -- 文件系统透明加密中，就会涉及到这个notepad.exe的内存映射以及缓存的知识，希望看这篇文章的朋友也能动手自己去编码实验一下，对内存映射文件一定会有一个更好的体会。

#define THREAD_TERMINATE               (0x0001)  // winnt
// end_ntddk end_wdm end_ntifs
#define THREAD_SUSPEND_RESUME          (0x0002)  // winnt
#define THREAD_ALERT                   (0x0004)
#define THREAD_GET_CONTEXT             (0x0008)  // winnt
#define THREAD_SET_CONTEXT             (0x0010)  // winnt
// begin_ntddk begin_wdm begin_ntifs
#define THREAD_SET_INFORMATION         (0x0020)  // winnt
// end_ntddk end_wdm end_ntifs
#define THREAD_QUERY_INFORMATION       (0x0040)  // winnt
// begin_winnt
#define THREAD_SET_THREAD_TOKEN        (0x0080)
#define THREAD_IMPERSONATE             (0x0100)
#define THREAD_DIRECT_IMPERSONATION    (0x0200)
// begin_ntddk begin_wdm begin_ntifs#define THREAD_ALL_ACCESS         (STANDARD_RIGHTS_REQUIRED | SYNCHRONIZE | \0x3FF)

#define PROCESS_TERMINATE         (0x0001)  // winnt
#define PROCESS_CREATE_THREAD     (0x0002)  // winnt
#define PROCESS_SET_SESSIONID     (0x0004)  // winnt
#define PROCESS_VM_OPERATION      (0x0008)  // winnt
#define PROCESS_VM_READ           (0x0010)  // winnt
#define PROCESS_VM_WRITE          (0x0020)  // winnt
// begin_ntddk begin_wdm begin_ntifs
#define PROCESS_DUP_HANDLE        (0x0040)  // winnt
// end_ntddk end_wdm end_ntifs
#define PROCESS_CREATE_PROCESS    (0x0080)  // winnt
#define PROCESS_SET_QUOTA         (0x0100)  // winnt
#define PROCESS_SET_INFORMATION   (0x0200)  // winnt
#define PROCESS_QUERY_INFORMATION (0x0400)  // winnt
#define PROCESS_SET_PORT          (0x0800)
#define PROCESS_SUSPEND_RESUME    (0x0800)  // winnt// begin_winnt begin_ntddk begin_wdm begin_ntifs
#define PROCESS_ALL_ACCESS        (STANDARD_RIGHTS_REQUIRED | SYNCHRONIZE | \0xFFF)

union { ULONG CrossThreadFlags; struct {ULONG Terminated              : 1;ULONG DeadThread              : 1;ULONG HideFromDebugger        : 1;ULONG ActiveImpersonationInfo : 1;ULONG SystemThread            : 1;ULONG HardErrorsAreDisabled   : 1;ULONG BreakOnTermination      : 1;ULONG SkipCreationMsg         : 1;ULONG SkipTerminationMsg      : 1;};}; union {ULONG SameThreadPassiveFlags;struct { ULONG ActiveExWorker : 1;ULONG ExWorkerCanWaitUser : 1;ULONG MemoryMaker : 1; ULONG KeyedEventInUse : 1;};};union{ULONG SameThreadApcFlags;struct {  BOOLEAN LpcReceivedMsgIdValid : 1;BOOLEAN LpcExitThreadCalled   : 1;BOOLEAN AddressSpaceOwner     : 1;BOOLEAN OwnsProcessWorkingSetExclusive  : 1;BOOLEAN OwnsProcessWorkingSetShared     : 1;BOOLEAN OwnsSystemWorkingSetExclusive   : 1;BOOLEAN OwnsSystemWorkingSetShared      : 1;BOOLEAN OwnsSessionWorkingSetExclusive  : 1;BOOLEAN OwnsSessionWorkingSetShared     : 1; BOOLEAN ApcNeeded                       : 1;};};

Terminated: 线程已终止操作
DeadThread: 线程创建失败
HideFromDebugger: 该线程对于调试器不可见
ActiveImpersonationInfo: 线程正在模仿
SystemThread: 是一个系统线程
HardErrorsAreDisabled: 对于该线程，硬件错误无效
BreakOnTermination: 调试器在线程终止时停下该线程
SkipCreationMsg: 不向调试器发送创建消息
SkipTerminationMsg: 不向调试器发送终止消息

关于APC的知识属于windows中断与异常相关方面的知识，这里做一些拓展，更多详细内容请参阅《windows 内核原理与实现》 5.2节

1) 处理器管脚(LINT0和LINT1)
2) 本地APIC定时器(timer)
3) 性能监视计数器中断
4) 热传感器中断
5) APIC内部错误中断//这些中断源都称为本地中断源，另外还有通过I/O APIC转送过来的中断源: 外部连接的I/O设备的中断消息和IPI消息
Ps: "中断"属于"异常"范畴中的一种，我们在学习的时候要注意归类这些概念，对我们整体把握windows的机制有很大好处，建议参考《深入理解计算机系统(原书第2版)》 8.2章异常的相关知识
我们这里介绍就只是中断，即"异常"大范畴的一个子类，我通过查阅资料发现严格意义的"中断"就是指的硬件中断，只要是计算机中的的硬件产生的请求都叫"中断"，我自己是这样总结的，如有不对，欢迎指正，不吝感激。

结合我们之前学习的IDT方面的知识，我们可以这样理解:1. IDT本身可以放在线性地址空间的任何地方，但基地址应该8字节对齐(在学习笔记(3)中对IDT有详细介绍)。
2. 我们是可以把IDT放在任意地方，但是要告知系统它存在在哪里，所以这个IDT的基址保存在IDTR中
3. 可以通过LIDT和SIDT指令分别用于加载和存储IDTR寄存器(LIDT只有在特权级0下才可以使用)

#define PASSIVE_LEVEL 0        //Passive release level(被动级别)
#define LOW_LEVEL 0        //Lowest interrupt level
#define APC_LEVEL 1        //APC interrupt level
#define DISPATCH_LEVEL 2    //Dispatcher level
#define PROFILE_LEVEL 27    //Timer used for profiling
#define CLOCK1_LEVEL 28        //Interval clock 1 level
#define CLOCK2_LEVEL 28        //Interval clock 2 level
#define IPI_LEVEL 29        //Interprocessor interrupt level
#define POWER_LEVEL 30        //Power failure level
#define HIGH_LEVEL 31        //Highest interrupt level

Ps: 这里插个题外话，我们使用的APC进程注入的原理也在于此，APC_LEVEL(APC级别)比PASSIVE_LEVEL高，这也正是在一个线程中插入一个APC可以打断该线程(如果被插入的这个线程正在PASSIVE_LEVEL上运行)的原因

(同样，我们可以在进程的创建完成IO回调中插入APC事件，达到APC进程注入的目的)
//详细细节参考sudami的经典文章《N种内核注入DLL的思路及实现》
http://www.pediy.com/kssd/pediy10/75887.html

typedef struct _KAPC
{UCHAR Type;UCHAR SpareByte0;UCHAR Size;UCHAR SpareByte1;ULONG SpareLong0;PKTHREAD Thread;LIST_ENTRY ApcListEntry;PVOID KernelRoutine;PVOID RundownRoutine;PVOID NormalRoutine;PVOID NormalContext;PVOID SystemArgument1;PVOID SystemArgument2;CHAR ApcStateIndex;CHAR ApcMode;UCHAR Inserted;
} KAPC, *PKAPC;

BOOLEAN ForwardClusterOnly;
BOOLEAN DisablePageFaultClustering;
UCHAR ActiveFaultCount;