软件调试学习笔记（一）—

软件调试学习笔记（一）—— 调试对象

准备工作
调试器与被调试程序
DebugActiveProcess
- 连接调试器
- - 分析kernel32!DebugActiveProcess
  - 分析ntdll!DbgUiConnectToDbg
- 连接被调试进程
- - 分析kernel32!DebugActiveProcess
  - 分析ntdll!DbgUiDebugActiveProcess
  - 分析nt!NtDebugActiveProcess
  - 分析nt!DbgkpSetProcessDebugObject
DebugObject

准备工作

三个系统文件：

kernel32.dll
ntdll.dll
ntoskrnl.exe

Windows源码（有其中一份就行）：

ReactOS
WRK

调试器与被调试程序

描述：调试器拥有自己的用户层，被调试程序也拥有自己的用户层，因此调试器与被调试程序必定通过某种方式连接到一起，才能够进行通信。

调试器与被调试对象建立联系的方式：

CreateProcess（创建进程）
DebugActiveProcess（附加进程）

本节主要围绕附加进程进行学习。

DebugActiveProcess

调试器执行流程：

kernel32!DebugActiveProcess()
↓
kernel32!DbgUiConnectToDbg()
↓
ntdll!DbgUiConnectToDbg()
↓
ntdll!ZwCreateDebugObject()
↓
nt!NtCreateDebugObject()

被调试进程执行流程：

kernel32!DebugActiveProcess()
↓
kernel32!DbgUiDebugActiveProcess(被调试进程句柄)
↓
ntdll!DbgUiDebugActiveProcess(被调试进程句柄)
↓
ntdll!NtDebugActiveProcess(被调试进程句柄,调试器进程TEB+0xF24)
↓
nt!NtDebugActiveProcess(HANDLE ProcessHandle, HANDLE DebugObjectHandle)
↓
nt!DbgkpSetProcessDebugObject  把调试对象和被调试进程关联起来

连接调试器

分析kernel32!DebugActiveProcess

分析ntdll!DbgUiConnectToDbg

CreateDebugObject的目的是创建一个DebugObject对象，并存放在TEB(0xF24)。

CreateDebugObject真正的实现位于nt!NtCreateDebugObject。

连接被调试进程

分析kernel32!DebugActiveProcess

分析ntdll!DbgUiDebugActiveProcess

NtDebugActiveProcess的实现位于nt!NtDebugActiveProcess

分析nt!NtDebugActiveProcess

分析nt!DbgkpSetProcessDebugObject

DebugObject

描述：

调试器在调试进程时调用DebugActiveProcess与被调试程序建立连接。
DebugActiveProcess首先在0环创建一个DEBUG_OBJECT结构体作为调试进程与被调试进程建立连接的桥梁。
DEBUG_OBJECT结构体的句柄存放在TEB +0xF24的位置（3环只能存放句柄）
DEBUG_OBJECT的地址存放在被调试进程的EPROCESS.DebugPort中（0环可以存放地址）。
DEBUG_OBJECT的本质是桥。

结构体：

//From ReactOS v3.12
typedef struct _DEBUG_OBJECT
{KEVENT EventsPresent;FAST_MUTEX Mutex;LIST_ENTRY EventList;union{ULONG Flags;struct{UCHAR DebuggerInactive:1;UCHAR KillProcessOnExit:1;};};
} DEBUG_OBJECT, *PDEBUG_OBJECT;

软件调试学习笔记（一）—— 调试对象相关推荐

软件调试学习笔记（三）—— 调试事件的处理
软件调试学习笔记(三)-- 调试事件的处理要点回顾调试事件的处理实验一:实现简单调试器(创建进程) 实验二:分析异常来源实验三:实现简单调试器(附加进程) 实验四:分析NtDebugActiv ...
软件调试学习笔记（二）—— 调试事件的采集
软件调试学习笔记(二)-- 调试事件的采集要点回顾调试事件的种类调试事件采集函数例:分析PspUserThreadStartup 例:分析PspExitThread 总结要点回顾调试器与被 ...
软件调试学习笔记（七）—— 单步步入单步步过
软件调试学习笔记(七)-- 单步步入&单步步过单步步入设置单步异常处理单步异常实验1:单步异常的设置与处理单步步过实现思路实验2:实现单步步过单步步入描述: 单步步入的实现依 ...
软件调试学习笔记（六）—— 硬件断点
软件调试学习笔记(六)-- 硬件断点硬件断点设置硬件断点触发硬件断点处理硬件断点实验:硬件断点的设置与处理硬件断点描述: 与软件断点与内存断点不同,硬件断点不依赖被调试程序,而是依赖于C ...
软件调试学习笔记（五）—— 软件断点内存断点
软件调试学习笔记(五)-- 软件断点&内存断点调试的本质软件断点软件断点的执行流程分析INT 3执行流程实验:处理软件断点内存断点内存断点的执行流程实验:处理内存断点调试的本 ...
软件调试学习笔记（四）—— 异常的处理流程
软件调试学习笔记(四)-- 异常的处理流程要点回顾异常的处理流程实验1:理解调试器与异常的关系未处理异常:最后一道防线实验2:理解UnhandledExceptionFilter执行流程实 ...
【软考中级】软件设计师学习笔记
软件设计师学习笔记计算机系统知识程序语言设计数据结构操作系统软件工程基础知识结构化开发方法创建型设计模式行为型设计模式结构型设计模式: 算法设计与分析数据库技术基础网络与信息安全 ...
软件设计模式学习笔记（七）
软件设计模式学习笔记(七) 结构型模式 1. 组合模式 1.1 概述对于这个图片肯定会非常熟悉,上图我们可以看做是一个文件系统,对于这样的结构我们称之为树形结构.在树形结构中可以通过调用某个方法 ...
软件设计模式学习笔记（三）
软件设计模式学习笔记(三) 1. 工厂设计模式 1.1 概述需求:设计一个咖啡店点餐系统. 设计一个咖啡类(Coffee),并定义其两个子类(美式咖啡[AmericanCoffee]和拿铁咖啡[La ...

软件调试学习笔记（一）—— 调试对象

软件调试学习笔记（一）—— 调试对象

准备工作

调试器与被调试程序

DebugActiveProcess

连接调试器

分析kernel32!DebugActiveProcess

分析ntdll!DbgUiConnectToDbg

连接被调试进程

分析kernel32!DebugActiveProcess

分析ntdll!DbgUiDebugActiveProcess

分析nt!NtDebugActiveProcess

分析nt!DbgkpSetProcessDebugObject

DebugObject

软件调试学习笔记（一）—— 调试对象相关推荐

最新文章

热门文章