Windows 驱动获取线程创建时间

在 Windows 驱动程序中获取线程创建时间可以使用 KeQuerySystemTime 函数来获取系统时间，再通过 THREAD_INFORMATION_CLASS 枚举类型中的 ThreadTimes 参数来获取线程的创建时间。以下是获取线程创建时间的示例代码：

// 获取线程创建时间
LARGE_INTEGER createTime;
KeQuerySystemTime(&createTime);
NTSTATUS status = ZwQueryInformationThread(NtCurrentThread(), ThreadTimes, &createTime, sizeof(createTime), NULL);

if (NT_SUCCESS(status)) {
    // 创建时间以 100ns 为单位，需要转换成 FILETIME 格式
    FILETIME ftCreateTime;
    RtlTimeToTimeFields(&createTime, (PTIME_FIELDS)&ftCreateTime);
    // 使用 ftCreateTime 处理线程创建时间
}

需要注意的是，KeQuerySystemTime 获取的是系统时间而不是当前线程的创建时间，需要再通过 ZwQueryInformationThread 获取当前线程的创建时间。另外，线程创建时间的单位是 100ns，需要使用 RtlTimeToTimeFields 函数将其转换成 FILETIME 格式才能进行处理。