windbg调试器简单分析.pdfVIP

windbg 调试器调试器原理原理的简单分析的简单分析 调试器调试器原理原理的简单分析的简单分析 [Author] ReverseMan [Blog] /reverseman [ QQ/MSN ] 705122552 / fanxinghua2314@126.com 为了方便大家的阅读，首先列出本文的目录。 本文目录： 1、分析原因 2、分析工具及资源 3、Windbg 调试原理简介 、ReactOS 源码剖析 5、Windbg 命令实战之条件断点及封包分析 6、总结 1. 分析原因分析原因 分析原因分析原因 在一次调试中，我在windbg 的调试窗口中在nt!NtCreateFile 处下了个条件断点， 命令大体是这样子的： kd bp nt!NtCreateFile j([esp+4]=xxx) ;g 然后，等我回到虚拟机中，打开xueTr 中后发现SSDT 钩子标签项中有如下的记录： 那么我在本机中下的条件断点如何会改变虚拟机的状态的呢？而且奇怪的是xueTr 所发现的inline hook 的原始函数地址和当前函数地址竟然是一样的。同样是在内核模块 中。由于是初学windbg ，并且对windbg 的调试原理一无所知。所以起了调戏一番的想 法，想一探究竟，下面就是我调试的整个过程，过程中某部分可能有更快捷的调试方法 和下断方法。我是一边调试一边学习，所以请高手莫要见怪。 2. 分析工具及资源分析工具及资源 分析工具及资源分析工具及资源 调试平台：server-windows xp sp3 ,client-Sun virtualbox3.1 + windows xp sp2 调试工具：windbg 、OllyDbg1.1 参考资料：ReactOS0.3.11 SRC 3. Windbg 调试原理简介调试原理简介 调试原理简介调试原理简介 关于windbg 的调试原理，我之前一直认为是其所有的功能实现都是在其内部完成 的。其实不然，windbg 只是整个调试实现中的接口程序。其核心功能的实现均是在被 调试系统内核中实现的。也就是说，windows 系统的内核已经集成了内核调试器的功能。 而windbg 调试器做的工作就是识别用户的命令，然后根据不同命令封装成一定的数据 格式，然后通过串口发送给被调试系统的内核。被调试系统内核在接受到数据包后，根 据数据包的内容去修改内核中的某些数据，使得内核调试器能够捕获特定的异常。内核 调试器捕获到异常后，根据异常的类型以及相关的信息封装成数据包通过串口发送给 windbg.windbg 调试器根据结果向调试者反馈结果。 以上是windbg 调试器的简单流程介绍。下面根据ReactOS 的源码来分析下内核调 试器的某些原理实现。 NOTE：由于是参考： ReactOS 的源码，而不是真正的windows 源码。所以分析结果 ：： 的正确性依赖于ReactOS 源码和真实windows 源码相似度的大小。 4. ReactOS 源码剖析源码剖析 源码剖析源码剖析 本来想参考WRK1.2 的源码来着，无奈WRK 的源码不完整，很多功能代码看不到。所 以最终使用 ReactOS 源码做一下简要分析。关于 ReactOS 这个项目的介绍，请 baidu 或者 google 下就OK 了。下面开始分析ReactOS 中内核调试器部分的源码。分析过程中的函数大 部分是摘录，如需查看完整代码请参考ReactOS(Version:0.3.11)源码。 首先，是系统初始化的代码，是在函数KdInitSystem 中实现。 首先默认