nt!KeWaitForSingleObject+0x1c2 (FPO: [Non-Fpo])
WARNING: Frame IP not in any known module. Following frames may be wrong.
9e0efd5c 8054372c 0006ff7c 7c93e514 badb0d00 0xbf802f65
9e0efd5c 0000003b 0006ff7c 7c93e514 badb0d00 nt!KiFastCallEntry+0xfc (FPO: [0,0] TrapFrame @ 9e0efd4c)
00000001 00000000 00000000 00000000 00000000 0x3b
lkd> !thread
THREAD 89cdbda0 Cid 1f50.07d0 Teb: 7ffd6000 Win32Thread: e2a43500 READY
Not impersonating
DeviceMap e2583f08
Owning Process 0 Image:
Attached Process 89ab5330 Image: iexplore.exe
Wait Start TickCount 15493969 Ticks: 4 (0:00:00:00.062)
Context Switch Count 374713 LargeStack
UserTime 00:00:02.796
KernelTime 00:00:00.937
Win32 Start Address 0x3fa38053
Start Address 0x7c7e0729
Stack Init a0e13000 Current a0e12cb0 Base a0e13000 Limit a0e0d000 Call 0
Priority 11 BasePriority 8 PriorityDecrement 1 DecrementCount 16
ChildEBP RetAddr Args to Child
a0e12cc8 80505894 89cdbe10 89cdbda0 804fd0c4 nt!KiSwapContext+0x2f (FPO: [Uses EBP] [0,0,4])
a0e12cd4 804fd0c4 000024ff e2a43500 00000000 nt!KiSwapThread+0x8a (FPO: [0,0,0])
a0e12cfc bf802f65 00000001 0000000d 00000001 nt!KeWaitForSingleObject+0x1c2 (FPO: [Non-Fpo])
WARNING: Frame IP not in any known module. Following frames may be wrong.
a0e12d5c 8054372c 018bfeec 7c93e514 badb0d00 0xbf802f65
a0e12d5c 0000003b 018bfeec 7c93e514 badb0d00 nt!KiFastCallEntry+0xfc (FPO: [0,0] TrapFrame-EDITED @ a0e12d4c)
00000001 00000000 00000000 00000000 00000000 0x3b
Experiment 7
1. 특정 Process의 Thread와 관련된 정보를 입력하기 위해서는 Debugging Tools for Windows에 포함된 tlist utility를(cmd를 이용해) 사용한다. 아래와 같이 cmd.exe 에 관련된 정보를 확인할 수 있었다.
Experiment 8
1. !teb 명령어를 사용해 현재 실행중인 Thread와 관련된 TEB(Thread Environment Block) Structure 정보들인 PEB 주소(PEB Address), 마지막에러값(LastErrorValue), 마지막 상태 값(LastStatusValue), 등을 확인할 수 있었다.
lkd> !teb
TEB at 7ffdf000
ExceptionList: 0006dde8
StackBase: 00070000
StackLimit: 00063000
SubSystemTib: 00000000
FiberData: 00001e00
ArbitraryUserPointer: 00000000
Self: 7ffdf000
EnvironmentPointer: 00000000
ClientId: 00001ec0 . 00000d04
RpcHandle: 00000000
Tls Storage: 00000000
PEB Address: 7ffd5000
LastErrorValue: 0
LastStatusValue: c0000034
Count Owned Locks: 0
HardErrorMode: 0
Experiment 9
1. Process Explorer를 사용하면 특정 Process와 관련된 여러 가지 정보들을 확인할 수 있다. properties의 Thread 탭을 보면 해당 프로세스의 쓰레드 관련 내용을 볼 수 있다.
두 개의 프로세스 한글과 반디집의 정보를 비교해보면,
한글은 Count를 통해 4개의 thread가 생성되어 있음을 알 수 있고, 한글(Hwp.exe)의 경우 Thread ID(TID)가 2148이고 Start Address가 0x10183f이지만, 부수적으로 로딩한 dll파일들이 있어 각각 TID, Start Address가 3228(GdiPlus.dll, 0x31c22), 3212(HncXsecCore.dll, 0x32d7a), 3832(HncXsecCore.dll, 0x310d7)임을 확인 할 수 있으며, 우선순위(Priority)가 9이며, 현재상태(State)는 대기상태(Wait)이며, 컨텍스트 스위칭 횟수는 40,903임을 확인 할 수 있었다.
반디집은 Count를 통해 4개의 thread가 생성되어 있음을 알 수 있고, 반디집(BandiZip32.exe)의 경우 Thread ID(TID)가 2828이고 Start Address가 0x6c488이지만, 부수적으로 로딩한 dll파일들이 있어 각각 TID가 2648(ADVAPI32.dll, 0x2848a), 7656(ntdll.dll, 0x28175), 4264(ntdll, 0x10250)임을 확인 할 수 있으며, 우선순위(Priority)가 8이며, 현재상태(State)는 대기상태(Wait)이며, 컨텍스트 스위칭 횟수는 3,094임을 확인 할 수 있었다.