DrX调试寄存器使用 二

DrX调试寄存器使用   二

       上一篇文章中，初步介绍了DrX的最简单的使用方法，由于操纵的对象是DrX寄存器，所以采用的编程语言是最接近硬件的汇编语言。使用汇编语言有优点：对于寄存器的操作一目了然、而且很能给人控制一切的感觉；但是其缺点也不容忽视：代码的封装性和可复用性太差。在接下来的文章里面，我会在逐步介绍DrX寄存器使用的同时，改用C或者是C++语言来编写程序，这样一来可以增强程序的可读性（毕竟能看懂32位汇编语言的朋友还不多——就整个程序员团体而言），二来也可以逐渐地对DrX的使用进行封装，增强代码的复用性。

       上篇文章的例子程序Msg.exe其实就是ASM版的Hello，World程序，程序用MASM32V8编译，所以其入口点为401000H，我们选择在401000H处设DrX断点，其实也就是在程序的入口点设断点。

       这篇文章中将要引入的例子程序是全世界最著名的Win32Asm教程：Iczelion Win32asm Tutorial中提出来的一个程序：对整个程序运行的指令数进行计数，在程序退出时，再显示记录下来的程序运行的总指令数。在本期的文章的例子程序中，记录的指令数包括了Windows系统内的指令（也就是Kernel32.dll，User32.dll等系统文件中的指令），至于如何单独记录用户程序运行的指令数，在后续的文章中将会提供解决方案。

       要达到记录整个程序执行指令数的目的，CPU的另一项调试功能：“单步断点”是必不可少的，下面是X86系列CPU的EFLAGS的示意图：

 

 

      

我们要使用的单步断点就是通过将上图中EFLAGS的第8位SF置1来实现的，SF为1时，CPU每执行一条指令，就会发出一个单步中断，我们就可以利用这个中断的功能来记录程序执行的总指令数。

程序的整体思路非常简单：

1、  按照上篇文章所述的方法，在程序的首地址中断下来。

2、  首地址中断后，清除DrX断点，设置SF标志

3、  此时再收到EXCEPTION_SINGLE_STEP断点消息，就代表程序正在单步运行，此时就可以对程序指令计数器进行inc的操作，从而达到记录指令执行条数的功能。

4、  收到EXIT_PROCESS_DEBUG_EVENT消息时，说明程序执行完成，准备退出内存，此时把指令计数器内的内容显示出来。

（用Visio画上一个流程图已经把我画晕了，这个程序大的框架与上一个没什么区别，大家自己琢磨一下吧，我就不画流程图了）

 

       从上一篇文章中可以看到，程序中有大量的分支结构，这次我们选用C语言来实现程序功能，C语言内有switch语句，专门用来对付这种分支繁多的程序，所以，C代码看起来比Asm代码简单清晰得多：

 

理论到此为止，下面是C的代码实现：

// BPM1.cpp : 定义应用程序的入口点。

//

 

#include <windows.h>

#include <winbase.h>

#include <tchar.h>

#include <stdio.h>

#include <string>

 

int APIENTRY _tWinMain(HINSTANCE hInstance,

                     HINSTANCE hPrevInstance,

                     LPTSTR    lpCmdLine,

                     int       nCmdShow)

{

    STARTUPINFO              sif ;

    PROCESS_INFORMATION      pi  ;

    ::ZeroMemory(&sif, sizeof(STARTUPINFO)) ;

    ::ZeroMemory(&pi, sizeof(PROCESS_INFORMATION)) ;

    sif.cb = sizeof(STARTUPINFO) ;

    bool       hRes ;

    bool       STOP ;

    hRes = ::CreateProcess (_T("Msg.exe"), NULL, NULL, NULL, NULL, DEBUG_PROCESS|DEBUG_ONLY_THIS_PROCESS, /

       NULL, NULL, &sif, &pi) ;

    if (hRes != TRUE)

    {

       ::MessageBox(NULL, _T("建立进程出错"), _T("错误"), MB_OK) ;

       ::ExitProcess(-1) ;

    }

    DEBUG_EVENT       DBEvent ;

    CONTEXT           Regs ;

    DWORD         dwState, dwBpCnt, dwSSCnt, dwAddrProc ;

    static const  DWORD  dwBreakAddr = 0x401000 ;

    unsigned int  iTotalCommandNum ;

    TCHAR         tBuffer[256] ;

    dwBpCnt = dwSSCnt = 0 ;

    iTotalCommandNum = 0 ;

    STOP = false ;

    Regs.ContextFlags = CONTEXT_FULL | CONTEXT_DEBUG_REGISTERS ;

    do

    {

       ::WaitForDebugEvent (&DBEvent, INFINITE) ;

       dwState = DBG_EXCEPTION_NOT_HANDLED ;

       switch (DBEvent.dwDebugEventCode)

       {

           case   EXCEPTION_DEBUG_EVENT:

           {

              switch (DBEvent.u.Exception.ExceptionRecord.ExceptionCode)

              {

                  case   EXCEPTION_BREAKPOINT:

                  {

                     ++dwBpCnt ;

                     if (dwBpCnt == 1)

                     {

                         ::GetThreadContext(pi.hThread, &Regs) ;

                        Regs.Dr0 = (DWORD)(::GetProcAddress(::GetModuleHandle(_T("ntdll.dll")), _T("NtContinue")) );

                         Regs.Dr7 = 0x101 ;

                         ::SetThreadContext(pi.hThread, &Regs) ;

                         dwState = DBG_CONTINUE ;

                     }

                     break ;

                  }

                  case   EXCEPTION_SINGLE_STEP :

                  {

                     ++dwSSCnt ;

                     if (dwSSCnt == 1)

                     {

                         ::GetThreadContext(pi.hThread, &Regs) ;

                         Regs.Dr0 = Regs.Dr7 = 0 ;

                         ::SetThreadContext(pi.hThread, &Regs) ;

 

                         ::ReadProcessMemory(pi.hProcess, (LPCVOID)(Regs.Esp+4), &dwAddrProc, sizeof(DWORD), NULL) ;

                         ::ReadProcessMemory(pi.hProcess, (LPCVOID)dwAddrProc, &Regs, sizeof(CONTEXT), NULL) ;

 

                         Regs.Dr0 = dwBreakAddr ;

                         Regs.Dr7 = 0x101 ;

 

                         ::WriteProcessMemory(pi.hProcess, (LPVOID)dwAddrProc, &Regs, sizeof(CONTEXT), NULL) ;

 

                         dwState = DBG_CONTINUE ;

                     }

                     else if (dwSSCnt == 2)

                     {

                         ::GetThreadContext(pi.hThread, &Regs) ;

                         Regs.Dr0 = Regs.Dr7 = 0 ;

                         Regs.EFlags |= 0x100 ;

                         ::SetThreadContext(pi.hThread, &Regs) ;

 

                         ++iTotalCommandNum ;

                         dwState = DBG_CONTINUE ;

                     }

                     else

                     {

                         ::GetThreadContext(pi.hThread, &Regs) ;

                         Regs.EFlags |= 0x100 ;

                         ::SetThreadContext(pi.hThread, &Regs) ;

 

                         ++iTotalCommandNum ;

                         dwState = DBG_CONTINUE ;

                     }

                     break ;

                  }

              }

              break ;

           }

           case   EXIT_PROCESS_DEBUG_EVENT :

           {

              iTotalCommandNum ;

              STOP = TRUE ;

              ::sprintf(tBuffer, _T("程序总指令数：  %08lX"), iTotalCommandNum) ;

              ::MessageBox(NULL, tBuffer, _T("结束"), MB_OK) ;

              ::ExitProcess(-1) ;

              break ;

           }

       }

       if (!STOP)

       {

           ::ContinueDebugEvent(pi.dwProcessId, pi.dwThreadId, dwState) ;

       }

    } while (!STOP) ;

 

    ::CloseHandle(pi.hProcess) ;

    ::CloseHandle(pi.hThread)  ;

    ::ExitProcess(0) ;

}

 

       需要指出的是：以上程序并无多少新增的技巧，之所以继（一）之后，我又写了（二），并不是要画蛇添足，而是想留下一些通用的使用DrX寄存器做调试程序的架构，上一篇是ASM的架构，这一篇就是C的架构，以后还将会写一篇C++的架构，相信这些代码的可复用性是会越来越高的！我自己把这些代码贴出来，即是方便自己，也是方便别人。计算机的东西，不存在什么技术保密的说法，今天你觉得是宝贝，留着不肯写出来，过一段时间，就变成无人问津的垃圾货了…………真心的希望国内的程序员加强交流，多写些好文章，让CSDN成为中国的CodeGuru。