DrX调试寄存器使用 一

Intel公司自80386以来，在CPU内部引入了Dr0-Dr7八个调试寄存器专门用于程序的调试工作，可以说这8个调试寄存器已经存在了很长时间，可是国内的汇编教科书中鲜有涉及者，导致国内很多朋友对此都不甚了解。我作为一个计算机底层技术的爱好者，从国外的一些网站上阅读了一些此方面的资料，并且写了一些演示用的程序，如今把它们整理出来，希望对那些想了解这方面的技术，却苦于找不到中文资料的朋友提供一些帮助。

如果你的英文过关，你可以参考如下网址获得更详细的资料：

http://www7.informatik.uni-erlangen.de/~msdoerfe/embedded/386html/toc.htm

http://www.anticracking.sk/EliCZ/

调试寄存器的作用就不再多说，相信知道调试是怎么回事情的朋友都能明白调试寄存器对于调试过程的重要性。

下面进入正题：

386体系的调试寄存器的示意图可以表示如下：

Dr0~Dr3用于存放欲设置断点的线性地址。

Dr4和Dr5保留

Dr6保存了调试状态

Dr7是调试控制寄存器

调试寄存器的使用总体来说分为如下几步：

1、  把欲监视的地址放入Dr0~Dr3中的一个寄存器

2、  在Dr7种设置相应的控制位，使得Dr0~Dr3存放的监视地址生效

3、  继续运行程序，接收EXCEPTION_SINGLE_STEP 调试消息，并在消息处理程序中作自己想做的事情。

以下的代码演示bpm最基础的用法，我假设你有Windows Debug API编程的基础知识以及利用32位汇编语言编程的能力。如果你这两方面都不太行，那网上关于这两方面的中文资料已经很多，可以自己参考。

我的编程环境是WinXP，凡是Nt架构的系统，在调试循环收到第一个EXCEPTION_BREAKPOINT调试消息的时候，程序都没有完全载入内存，所以不能对程序地址设断，此时的解决方案是先对Ntdll.dll的引出函数NtContinue设断，然后在第一个EXCEPTION_SINGLE_STEP产生时，再对需要设断的地址设断。

Note：DrX寄存器产生的断点是：EXCEPTION_SINGLE_STEP断点消息

整个程序的分支非常多，流程图如下：

如此多分支的流程图，用ASM实现的确容易出错，所以，一旦搭好一个调试的框架，日后如非必要，就务须修改。

另外，整个程序中使用的CONTEXT结构地址必须4字节对齐，否则得不到正确的结果。请大家记住一个规律：凡是需要和系统内核打交道的数据结构，一般都需要进行4字节对齐。C/C++中，编译器会自动帮你设置好对齐，而在ASM中，数据的内存布局都是由程序员决定的，所以，此处要特别小心。否则，最容易出现的结果就是：整个程序逻辑、编码都正确，可是就是出不来正确的结果。

理论到此为止，下面来看看DrX寄存器的第一个示例代码：

;filename: bpm1.asm

comment /*
演示bpm最基础的用法，在程序的首地址中断
1、CONTEXT结构的地址要4字节对齐
    yoda的例子程序里面，CONTEXT结构是.DATA段第一个数据定义，连接器会自动对齐
;2、调试循环结构很复杂
*/
.386
.model flat,stdcall 
option casemap:none 

include \masm32\include\windows.inc 
include \masm32\include\kernel32.inc 
include \masm32\include\comdlg32.inc 
include \masm32\include\user32.inc 
include ..\bpm\bpm.inc

includelib \masm32\lib\kernel32.lib 
includelib \masm32\lib\comdlg32.lib 
includelib \masm32\lib\user32.lib 

.data 
szAppName         db        "firing's Bpm Example no.1",0 
szExitStr             db        "Debuggee exit...",0

szFormat             db        "Break at address: %08X",0Dh,0Ah,0

szExeName          db        "Msg.exe",0

szNtDllName       db        "ntdll.dll",0
szProcName         db        "NtContinue",0

DbgState             dd        0
TotalInstruction   dd        0
dwSSCnt              dd        0
dwAddrBuf          dd        0
dwBpCnt              dd        0
dwBreakAddr       dd        401000h
szBuffer              db        512 dup(?) 

align    dword
Regs   CONTEXT   <CONTEXT_FULL OR \

CONTEXT_DEBUG_REGISTERS>                ;这个结构的地址要对齐的
sif              STARTUPINFO            < SIZEOF STARTUPINFO > 
pi                    PROCESS_INFORMATION < > 
DBEvent        DEBUG_EVENT            < > 

WipeContextBPdr0    PROTO

;一些为了编码方便而设置的常量定义
DbgEvent             EQU            DBEvent.dwDebugEventCode 
excCode                EQU            DBEvent.u.Exception.pExceptionRecord.ExceptionCode 
excAddr                EQU            DBEvent.u.Exception.pExceptionRecord.ExceptionAddress 
;pDllName            EQU            Dev.u.LoadDll.lpImageName 
;lpBase                 EQU            Dev.u.LoadDll.lpBaseOfDll 

.code
start: 
xor        eax, eax
mov        dwSSCnt, eax
mov        dwBpCnt, eax
mov        dwBreakAddr, 401000h
invoke    GetStartupInfo,addr sif
invoke    CreateProcess, addr szExeName, NULL, NULL, NULL, FALSE, DEBUG_PROCESS+ DEBUG_ONLY_THIS_PROCESS, \
                NULL, NULL, addr sif, addr pi 
;以下进入debug循环
.while TRUE
    invoke WaitForDebugEvent, addr DBEvent, INFINITE
    mov        DbgState, DBG_EXCEPTION_NOT_HANDLED
    .if DbgEvent == EXCEPTION_DEBUG_EVENT
        .if excCode==EXCEPTION_BREAKPOINT 
            mov        DbgState,DBG_CONTINUE
            inc        dwBpCnt
            .if        dwBpCnt == 1
                    invoke    GetThreadContext, pi.hThread, addr Regs
                    invoke    GetModuleHandle, addr szNtDllName
                    invoke    GetProcAddress, eax,  addr szProcName
                    mov        Regs.iDr7, M_INSTR0 + M_LDR0   ;执行指令中断+Dr0有效

                    mov        Regs.iDr0, eax                            ;在NtContinue函数设断
                    invoke    SetThreadContext, pi.hThread, addr Regs
                    jmp        @f
                .endif
        .elseif excCode == EXCEPTION_SINGLE_STEP 
             inc    dwSSCnt
             .if    dwSSCnt == 1                                    ;中断在NtContinue
                invoke  WipeContextBPdr0                            ;清除断点
                mov        eax,Regs.regEsp
                add        eax,4                                        ;eax = "esp"+4
                invoke    ReadProcessMemory,pi.hProcess, eax, addr dwAddrBuf, sizeof DWORD, \

NULL

      invoke    ReadProcessMemory,pi.hProcess, dwAddrBuf, addr Regs, sizeof CONTEXT, \

                   NULL
                push    dwBreakAddr
                pop        Regs.iDr0
                mov        Regs.iDr7, M_LDR0+ M_INSTR0
                invoke    WriteProcessMemory,pi.hProcess,dwAddrBuf,addr Regs,sizeof CONTEXT, \

NULL

      jmp        @f
            .elseif    dwSSCnt    == 2                                    ;中断在首地址
                invoke  WipeContextBPdr0
                invoke    wsprintf, addr szBuffer, addr szFormat, excAddr
                invoke    MessageBox, 0, addr szBuffer, addr szAppName, MB_OK+ \

MB_ICONINFORMATION 

       jmp        @f
                .endif
          .endif 
    .elseif DbgEvent == EXIT_PROCESS_DEBUG_EVENT                    ;程序退出消息
        invoke MessageBox, 0, addr szExitStr, addr szAppName, MB_OK+     

MB_ICONINFORMATION 
        .break 
    .endif 
@@:
invoke ContinueDebugEvent, DBEvent.dwProcessId, DBEvent.dwThreadId, DBG_CONTINUE
.endw 
    invoke CloseHandle,pi.hProcess 
    invoke CloseHandle,pi.hThread 
    invoke ExitProcess, 0 
;****************************************************************************** WipeContextBPdr0        Proc 
        invoke    GetThreadContext,pi.hThread,addr Regs 
        mov        Regs.iDr0,0 
        mov        Regs.iDr7,0 
        invoke    SetThreadContext,pi.hThread,addr Regs 
        ret 
WipeContextBPdr0        Endp 
;******************************************************************************
end start