DrX调试寄存器使用 二XML:namespace prefix = o ns = "urn:schemas-microsoft-com:Office:office" />
上一篇文章中,初步介绍了DrX的最简单的使用方法,由于操纵的对象是DrX寄存器,所以采用的编程语言是最接近硬件的汇编语言。使用汇编语言有优点:对于寄存器的操作一目了然、而且很能给人控制一切的感觉;但是其缺点也不容忽视:代码的封装性和可复用性太差。在接下来的文章里面,我会在逐步介绍DrX寄存器使用的同时,改用C或者是C++语言来编写程序,这样一来可以增强程序的可读性(毕竟能看懂32位汇编语言的朋友还不多——就整个程序员团体而言),二来也可以逐渐地对DrX的使用进行封装,增强代码的复用性。
上篇文章的例子程序Msg.exe其实就是ASM版的Hello,World程序,程序用MASM32V8编译,所以其入口点为401000H,我们选择在401000H处设DrX断点,其实也就是在程序的入口点设断点。
这篇文章中将要引入的例子程序是全世界最著名的win32Asm教程:Iczelion Win32asm Tutorial中提出来的一个程序:对整个程序运行的指令数进行计数,在程序退出时,再显示记录下来的程序运行的总指令数。在本期的文章的例子程序中,记录的指令数包括了windows系统内的指令(也就是Kernel32.dll,User32.dll等系统文件中的指令),至于如何单独记录用户程序运行的指令数,在后续的文章中将会提供解决方案。
要达到记录整个程序执行指令数的目的,cpu的另一项调试功能:“单步断点”是必不可少的,下面是X86系列CPU的EFLAGS的示意图:
ASPectratio="t">2003-7-41720510.png" o:title="EFLAGS">
我们要使用的单步断点就是通过将上图中EFLAGS的第8位sf置1来实现的,SF为1时,CPU每执行一条指令,就会发出一个单步中断,我们就可以利用这个中断的功能来记录程序执行的总指令数。
程序的整体思路非常简单:
1、 按照上篇文章所述的方法,在程序的首地址中断下来。
2、 首地址中断后,清除DrX断点,设置SF标志
3、 此时再收到EXCEPTION_SINGLE_STEP断点消息,就代表程序正在单步运行,此时就可以对程序指令计数器进行inc的操作,从而达到记录指令执行条数的功能。
4、 收到EXIT_PROCESS_DEbug_EVENT消息时,说明程序执行完成,准备退出内存,此时把指令计数器内的内容显示出来。
(用Visio画上一个流程图已经把我画晕了,这个程序大的框架与上一个没什么区别,大家自己琢磨一下吧,我就不画流程图了)
从上一篇文章中可以看到,程序中有大量的分支结构,这次我们选用C语言来实现程序功能,C语言内有switch语句,专门用来对付这种分支繁多的程序,所以,C代码看起来比Asm代码简单清晰得多:
理论到此为止,下面是C的代码实现:
// BPM1.cpp : 定义应用程序的入口点。
//
#include
#include
#include
#include
#include
int apiENTRY _tWinMain(HINSTANCE hInstance,
HINSTANCE hPrevInstance,
LPTSTR lpCmdLine,
int nCmdShow)
{
STARTUPINFO sif ;
PROCESS_INFORMATION pi ;
::ZeroMemory(&sif, sizeof(STARTUPINFO)) ;
::ZeroMemory(&pi, sizeof(PROCESS_INFORMATION)) ;
sif.cb = sizeof(STARTUPINFO) ;
bool hRes ;
bool STOP ;
hRes = ::CreateProcess (_T("Msg.exe"), NULL, NULL, NULL, NULL, DEBUG_PROCESS|DEBUG_ONLY_THIS_PROCESS,
NULL, NULL, &sif, &pi) ;
if (hRes != TRUE)
{
::MessageBox(NULL, _T("建立进程出错"), _T("错误"), MB_OK) ;
::ExitProcess(-1) ;
}
DEBUG_EVENT dbEvent ;
CONTEXT Regs ;
Dword dwState, dwBpCnt, dwSSCnt, dwAddrProc ;
static const DWORD dwBreakAddr = 0x401000 ;
unsigned int iTotalCommandNum ;
TCHAR tBuffer[256] ;
dwBpCnt = dwSSCnt = 0 ;
iTotalCommandNum = 0 ;
STOP = false ;
Regs.ContextFlags = CONTEXT_FULL | CONTEXT_DEBUG_REGISTERS ;
do
{
::WaitForDebugEvent (&DBEvent, INFINITE) ;
dwState = DBG_EXCEPTION_NOT_HANDLED ;
switch (DBEvent.dwDebugEventCode)
{
case EXCEPTION_DEBUG_EVENT:
{
switch (DBEvent.u.Exception.ExceptionRecord.ExceptionCode)
{
case EXCEPTION_BREAKPOINT:
{
++dwBpCnt ;
if (dwBpCnt == 1)
{
::GetThreadContext(pi.hThread, &Regs) ;
Regs.Dr0 = (DWORD)(::GetProcAddress(::GetModuleHandle(_T("ntdll.dll")), _T("NtContinue")) );
Regs.Dr7 = 0x101 ;
::SetThreadContext(pi.hThread, &Regs) ;
dwState = DBG_CONTINUE ;
}
break ;
}
case EXCEPTION_SINGLE_STEP :
{
++dwSSCnt ;
if (dwSSCnt == 1)
{
::GetThreadContext(pi.hThread, &Regs) ;
Regs.Dr0 = Regs.Dr7 = 0 ;
::SetThreadContext(pi.hThread, &Regs) ;
::ReadProcessMemory(pi.hProcess, (LPCVOID)(Regs.Esp+4), &dwAddrProc, sizeof(DWORD), NULL) ;
::ReadProcessMemory(pi.hProcess, (LPCVOID)dwAddrProc, &Regs, sizeof(CONTEXT), NULL) ;
Regs.Dr0 = dwBreakAddr ;
Regs.Dr7 = 0x101 ;
::WriteProcessMemory(pi.hProcess, (LPVOID)dwAddrProc, &Regs, sizeof(CONTEXT), NULL) ;
dwState = DBG_CONTINUE ;
}
else if (dwSSCnt == 2)
{
::GetThreadContext(pi.hThread, &Regs) ;
Regs.Dr0 = Regs.Dr7 = 0 ;
Regs.EFlags |= 0x100 ;
::SetThreadContext(pi.hThread, &Regs) ;
++iTotalCommandNum ;
dwState = DBG_CONTINUE ;
}
else
{
::GetThreadContext(pi.hThread, &Regs) ;
Regs.EFlags |= 0x100 ;
::SetThreadContext(pi.hThread, &Regs) ;
++iTotalCommandNum ;
dwState = DBG_CONTINUE ;
}
break ;
}
}
break ;
}
case EXIT_PROCESS_DEBUG_EVENT :
{
iTotalCommandNum ;
STOP = TRUE ;
::sprintf(tBuffer, _T("程序总指令数: %08lX"), iTotalCommandNum) ;
::MessageBox(NULL, tBuffer, _T("结束"), MB_OK) ;
::ExitProcess(-1) ;
break ;
}
}
if (!STOP)
{
::ContinueDebugEvent(pi.dwProcessId, pi.dwThreadId, dwState) ;
}
} while (!STOP) ;
::CloseHandle(pi.hProcess) ;
::CloseHandle(pi.hThread) ;
::ExitProcess(0) ;
}
需要指出的是:以上程序并无多少新增的技巧,之所以继(一)之后,我又写了(二),并不是要画蛇添足,而是想留下一些通用的使用DrX寄存器做调试程序的架构,上一篇是ASM的架构,这一篇就是C的架构,以后还将会写一篇C++的架构,相信这些代码的可复用性是会越来越高的!我自己把这些代码贴出来,即是方便自己,也是方便别人。计算机的东西,不存在什么技术保密的说法,今天你觉得是宝贝,留着不肯写出来,过一段时间,就变成无人问津的垃圾货了…………真心的希望国内的程序员加强交流,多写些好文章,让CSDN成为中国的CodeGuru。
来自 “ ITPUB博客 ” ,链接:http://blog.itpub.net/10748419/viewspace-958521/,如需转载,请注明出处,否则将追究法律责任。
转载于:http://blog.itpub.net/10748419/viewspace-958521/