Fonction PsLookupThreadByThreadId (ntifs.h)

Article
02/29/2024

La routine PsLookupThreadByThreadId accepte l’ID de thread d’un thread et retourne un pointeur référencé vers la structure ETHREAD du thread.

Syntaxe

NTSTATUS PsLookupThreadByThreadId(
  [in]  HANDLE   ThreadId,
  [out] PETHREAD *Thread
);

Paramètres

[in] ThreadId

Spécifie l’ID de thread du thread.

[out] Thread

Retourne un pointeur référencé vers la structure ETHREAD du thread spécifiée par le ThreadId.

Valeur retournée

PsLookupThreadByThreadId retourne STATUS_SUCCESS sur la réussite ou une valeur NTSTATUS appropriée, telle que :

Code de retour	Description
STATUS_INVALID_PARAMETER	L’ID de thread est introuvable.

Remarques

Cette routine est disponible sur Windows 2000 et versions ultérieures.

Si l’appel à PsLookupThreadByThreadId réussit, PsLookupThreadByThreadId augmente le nombre de références sur l’objet retourné dans le paramètre Thread . Par conséquent, lorsqu’un pilote a terminé l’utilisation du paramètre Thread , il doit appeler ObDereferenceObject pour déréférencer le paramètre Thread reçu de la routine PsLookupThreadByThreadId .

La structure ETHREAD est une structure de données opaque utilisée en interne par le système d’exploitation. Cette structure peut être transmise à d’autres routines pour accéder à des informations spécifiques dans cette structure.

Un pilote de filtre de système de fichiers peut énumérer des threads actifs en appelant PsLookupThreadByThreadId pour convertir un ID de thread en structure ETHREAD. L’ID de thread est disponible dans la routine de création de thread. Un pilote de filtre de système de fichiers peut définir une routine de rappel de notification de thread à l’aide de PsSetCreateThreadNotifyRoutine. Dans la routine de rappel de notification, le pilote de filtre du système de fichiers peut utiliser le paramètre ThreadId transmis et appeler PsLookupThreadByThreadId pour localiser la structure ETHREAD.

La routine PsLookupThreadByThreadId contient du code paginable.