SetThreadContext 直接修改 RIP 跳转 Shellcode 大概率失败，因内存保护（DEP/NX）、上下文不一致（RSP/CS/GS 等未匹配）、CET/HVCI 等硬件级控制流防护会触发访问违例或静默终止，且现代系统已物理封死该路径。
不能安全、可靠地用 SetThreadContext 直接跳转到 Shellcode 执行 —— 这不是权限或 API 调用问题，而是内存保护和上下文一致性导致的硬性失败。
为什么 SetThreadContext + RIP 修改大概率崩溃或静默失败
Windows 内核在调用 SetThreadContext 时会对目标线程的上下文做多项校验：若 RIP 指向的地址不在合法可执行页（PAGE_EXECUTE 或 PAGE_EXECUTE_READ），且该页未通过 VirtualProtect 显式设为可执行，调用会成功返回但线程恢复后触发 STATUS_ACCESS_VIOLATION；更隐蔽的是，若目标地址所在页是写时复制（COW）页、或被 CFG / CET / HVCI 等机制标记为不可跳转，线程可能直接终止而无异常抛出。
-
RIP只是上下文的一部分，RSP、RBP、段寄存器、CS的值必须与目标 Shellcode 的执行约定严格匹配，否则栈展开失败或 GS 基址错乱 - 64 位下
SetThreadContext对RIP的修改仅在目标线程处于Suspended状态且刚被CreateRemoteThread或DebugActiveProcess暂停时才有效；若线程正在运行或刚从系统调用返回，寄存器值可能被内核覆盖 - Shellcode 若含相对寻址（如
call [rip + offset]）、或依赖GS:[0x0]（SEH）、或调用ntdll导出函数，但没重定位或没修复 import，必然 crash
真正可行的 Shellcode 注入路径（绕过 RIP 直改）
放弃“直接设 RIP 到 Shellcode”这个想法，改用内核认可的控制流劫持方式：
- 用
VirtualAllocEx分配PAGE_EXECUTE_READWRITE内存，写入 Shellcode；再用WriteProcessMemory把跳转指令（如jmp rax）注入目标线程的栈顶或已知可写可执行缓冲区 - 用
SetThreadContext修改RIP指向一个“跳板”——比如你刚写入的jmp rax指令，同时把RAX设为 Shellcode 地址；这样跳转由 CPU 执行，不触发内核对RIP的静态校验 - 更稳定的做法是：找到目标进程正在使用的回调函数指针位置（如
PEB->Ldr->InMemoryOrderModuleList后的 TLS 回调、或窗口过程WNDPROC），用WriteProcessMemory替换为 Shellcode 地址，再唤醒线程让它自然调用——此时RIP是由合法调用链带入的，完全绕过校验
SetThreadContext 修改 RIP 的最小可用条件
仅当满足全部以下条件时，RIP 直改才可能成功（但仍不推荐用于生产）：
立即学习“C++免费学习笔记（深入）”；
- 目标线程由当前进程创建（非跨会话），且全程由
SuspendThread控制，未进入 APC 或内核态等待 - Shellcode 所在内存页已用
VirtualProtectEx设置为PAGE_EXECUTE_READ，且该页未启用MEM_IMAGE或受 HVCI 保护 -
CONTEXT结构中除RIP外，RSP必须指向有效栈空间（不能是空页或只读页），CS必须为0x33（64 位用户模式），SS必须为0x2b - Shellcode 第一条指令不能是
ret、int 3或任何会破坏栈平衡的操作；必须以完整函数形式存在，结尾有ret或手动恢复原上下文
示例片段（仅演示结构，不可直接运行）：
CONTEXT ctx = {0};
ctx.ContextFlags = CONTEXT_CONTROL;
GetThreadContext(hThread, &ctx);
ctx.Rip = (DWORD64)shellcode_addr;
ctx.Rsp = (DWORD64)valid_stack_addr; // 必须是你分配并验证过的栈
ctx.SegCs = 0x33;
ctx.SegSs = 0x2b;
SetThreadContext(hThread, &ctx); // 此时线程仍 suspended
ResumeThread(hThread);
CET / Shadow Stack 让这事彻底失效
Windows 10 20H1+ 启用 CET（Control Flow Enforcement）后，即使 SetThreadContext 成功设置了 RIP，CPU 在执行 jmp 或 call 时会检查目标地址是否在允许的间接跳转列表中。Shellcode 地址默认不在该列表，触发 STATUS_STACK_BUFFER_OVERRUN 并终止线程。绕过需要：SetThreadContext 同时设置 DR7 和 IA32_PL3_SSP MSR（需 SeDebugPrivilege + ring0 支持），普通用户态代码做不到。
所以别纠结 RIP 怎么设——先确认目标进程是否启用了 CET（查 NtQueryInformationProcess 的 ProcessMachineTypeInformation 和 ProcessMitigationPolicy），再决定要不要换方案。多数现代进程，这条路已经物理封死。
