[Windows用户态调试器原理.docVIP

Windows用户态调试器原理 Windows操作系统提供了一组API来支持调试器。 这些API可以分为三类： 创建调试目标的API； 在调试循环中处理调试事件的API。 查看和修改调试目标的API。 接下来将会分别对这三种API进行介绍。 创建调试目标 在调试器工作之前，需要创建调试目标。用户态调试器有两种创建调试目标的方法：一是创建新进程，二是附加到一个运行的进程。采用这两种方法中的任一种后，该进程就成为了调试目标。操作系统将调试器与调试目标关联起来。 调试器创建调试目标是通过调用CreateProcess并传入DEBUG_PROCESS标志。 如： [cpp] view plaincopy STARTUPINFO si={0}; si.cb=sizeof(si); PROCESS_INFORMATION pi={0}; bool ret=CreateProcesss(NULL,argv[1],NULL,NULL,false, DEBUG_PROCESS,NULL,NULL,si,pi);  调试器附加到一个运行的进程是通过调用DebugActiveProcess来实现的。 DebugActiveProcess 此函数允许将调试器捆绑到一个正在运行的进程上。 [cpp] view plaincopy BOOL DebugActiveProcess(DWORD dwProcessId )  dwProcessId：欲捆绑进程的进程标识符 如果函数成功，则返回非零值；如果失败，则返回零 无论采用哪一种方法，调试器与操作系统的交互都是相同的。这种调试器被称为活动调试器（living debuger)。每个调试器只能有一个调试目标。 调试循环 在初学Windows时我们一定接触过消息循环。调试循环与此类似。 while(当调试不结束时） { //等待操作系统发送调试事件。 //处理调试事件。 //通知调试目标执行相应操作。 } 在调试目标被调试时，进程执行的一些操作会以事件的方式通知调试器。例如动态库的加载与卸载、新线程的创建和销毁以及代码或处理器抛出的异常都会通知调试器。 当有事件需要通知调试器时，操作系统会首先挂起调试目标的所有线程，然后把事件通知调试器。并且等待调试器通知其继续执行。 调试器会调用WaitForDebugEvent来等待事件通知的到来 。当有事件通知到来时此函数返回，返回的事件信息被封装在DEBUG_EVENT结构中。这个结构包含事件的类型等其他信息。 事件类型有以下几种： WaitForDebugEvent 此函数用来等待被调试进程发生调试事件。 [cpp] view plaincopy BOOL WaitForDebugEvent(LPDEBUG_ENENT lpDebugEvent, DWORD dwMilliseconds)  lpDebugEvent ：指向接收调试事件信息的DEBUG_ ENENT结构的指针 dwMilliseconds：指定用来等待调试事件发生的毫秒数，如果 这段时间内没有调试事件发生，函数将返回调用者；如果将该参数指定为INFINITE，函数将一直等待直到调试事件发生 如果函数成功，则返回非零值；如果失败，则返回零 在调试器调用WaitForDebugEvent返回后，得到事件通知，然后解析DEBUG_EVENT结构，并对事件进行响应，处理完成后调试器将会调用ContinueDebugEvent，并根据参数来通知调试目标执行相应操作。 ContinueDebugEvent函数 此函数允许调试器恢复先前由于调试事件而挂起的线程。 [cpp] view plaincopy BOOL ContinueDebugEvent(DWORD dwProcessId,DWORD dwThreadId, DWORD dwContinueStatus )  dwProcessId 为被调试进程的进程标识符 dwThreadId 为欲恢复线程的线程标识符 dwContinueStatus指定了该线程将以何种方式继续，包含两个定义值DBG_CONTINUE和DBG_EXCEPTION_NOT_HANDLED 如果函数成功，则返回非零值