我如何知道哪个 DLL 启动了线程以及 DLL 为外部 DLL 拥有什么地址空间？

Question

我有一个 Delph 6 DirectShow 应用程序，可以通过套接字与 Skype 交换音频。当 DirectShow 过滤器链运行时，我在由过滤器图加载的 DLL 之一启动的线程之一中遇到间歇性访问冲突。该DLL不属于我，所以我没有源代码。

我已经检查了事件日志，并且在运行过滤器图时看到了以下相关摘录：

Thread Start: Thread ID: $00000804. Process Test.exe ($CE4)
Module Load: QCap.dll. No Debug Info. Base Address: $757F0000. Process Test.exe ($CE4)
Thread Start: Thread ID: $00000608. Process Test.exe ($CE4)
Thread Start: Thread ID: $0000259C. Process Test.exe ($CE4)
Thread Start: Thread ID: $00002778. Process Test.exe ($CE4)
ODS: DXCHAIN, STARTING> DXCaptureFilterComponent1 succeeded Process Test.exe ($CE4)
ODS: DXCHAIN, STARTING> DXChainComp_mic2skype Process Test.exe ($CE4)
Module Load: DSOUND.dll. No Debug Info. Base Address: $73F10000. Process Test.exe ($CE4)
ODS: (TPushSourcePinBase_wavaudio.Create) Construction succeeded. Process Test.exe ($CE4)
ODS: (TPushSourcePinBase_wavaudio.Create) Construction succeeded. Process Test.exe ($CE4)
Module Load: wavdest.ax. No Debug Info. Base Address: $10000000. Process Test.exe ($CE4)
ODS: (TPushSourcePinBase_wavaudio.DecideBufferSize) Resulting buffer size for audio is: 800 Process Test.exe ($CE4)
ODS: (TPushSourcePinBase_wavaudio.DecideBufferSize) Resulting buffer size for audio is: 800 Process Test.exe ($CE4)
Thread Start: Thread ID: $000027E0. Process Test.exe ($CE4)
Thread Start: Thread ID: $00001DF0. Process Test.exe ($CE4)
Thread Start: Thread ID: $0000176C. Process Test.exe ($CE4)
Thread Start: Thread ID: $0000083C. Process Test.exe ($CE4)

注意，ODS 行是“调试打印”语句到调试监视器窗口 (OutputDebugString) 的结果

记录了在试验中抛出 AV 的线程以上是 $0000176C。该线程始终是创建的第 12 个线程，调试器报告的 AV 位置是始终 *$77BEFOOF*。我的问题是：

1）如何判断哪个动态加载的 DLL 拥有故障线程？

2）有没有办法找出每个DLL的起始和结束内存位置，即使是那些我没有源代码的DLL，这样我就可以看到哪个DLL包含$77BEF00F地址位置？

3) 有没有人在使用混合 DirectShow 链和套接字的应用程序时遇到过麻烦？您可以向我提出任何警告或提示吗？我的应用程序中的 DirectShow 链混合来自套接字的音频数据并将数据发送到套接字。

更新：使用Roman R的Process Explorer提示，我已将$77BEFOOF的AV故障位置跟踪到msacm32.dll，这是Microsoft音频压缩Manager（在 Process Explorer 描述 字段中显示为“Microsoft ACM 音频过滤器”。）如果任何人有该 DLL 问题的任何现场经验，请分享。

Answer 1

线程不属于 DLL，它们属于进程。您通常会想要哪个 DLL 启动了一个线程，因此您将检查线程调用堆栈并查看最底部的条目 - 这将表明谁是线程启动者。

DLL 被映射到进程的某个基地址，您可以通过 PSAPI 以编程方式查询它（例如 EnumProcessModules)，或 Process Explorer 可以交互方式获取它（Base 列、Size 列）。