KdDebuggerEnabled，kdDisableDebugger

最新推荐文章于 2022-02-23 15:02:25 发布

goooglec

最新推荐文章于 2022-02-23 15:02:25 发布

阅读量2.1k

点赞数

分类专栏： windows内核文章标签： integer c

windows内核专栏收录该内容

1 篇文章 0 订阅

订阅专栏

判断是否有内核调试器在调试, 如果有调试器，则断开
; 如果没有，则直接返回

IsKernelDebugger proc near
        jmp   short L2
L1:
        call    KdDisableDebugger
L2:
        mov     edx, ds:KdDebuggerEnabled
        xor     ecx, ecx
        xor     eax, eax
        inc     ecx
        inc     eax
        lock cmpxchg [edx], ecx
        test    al, al
        jnz     short L1
        retn
IsKernelDebugger endp

贴个c的代码：
void IsKernelDebugger()
{
      while ( 1 )
      {
           if(KdDebuggerEnabled)
              KdDisableDebugger();
           else
              break;
      }
}

内核地址0xFFDF0000和用户地址0x7FFE0000都指向同一物理页面。内核地址是可写的，但用户地址则不能。也就说是说，我们可以在ring0层把信息写入到0xFFDF0000~0xFFDF0FFF的4K虚拟页面空间，由于用户地址0x7FFE0000也指向这个物理页面，所以我们在0xFFDF0000~0xFFDF0FFF地址写入的代码，在用户空间可以访问到。该共享区域的大小是4K。内核占用其中一部分，内存区域的名称是KUSER_SHARED_DATA。可以在WinDbg中看看。
KdDebuggerEnabled就位于内核共享区。
lkd> dt _KUSER_SHARED_DATA
ntdll!_KUSER_SHARED_DATA
   +0x000 TickCountLow     : Uint4B
   +0x004 TickCountMultiplier : Uint4B
   +0x008 InterruptTime    : _KSYSTEM_TIME
   +0x014 SystemTime       : _KSYSTEM_TIME
   +0x020 TimeZoneBias     : _KSYSTEM_TIME
   +0x02c ImageNumberLow   : Uint2B
   +0x02e ImageNumberHigh : Uint2B
   +0x030 NtSystemRoot     : [260] Uint2B
   +0x238 MaxStackTraceDepth : Uint4B
   +0x23c CryptoExponent   : Uint4B
   +0x240 TimeZoneId       : Uint4B
   +0x244 Reserved2        : [8] Uint4B
   +0x264 NtProductType    : _NT_PRODUCT_TYPE
   +0x268 ProductTypeIsValid : UChar
   +0x26c NtMajorVersion   : Uint4B
   +0x270 NtMinorVersion   : Uint4B
   +0x274 ProcessorFeatures : [64] UChar
   +0x2b4 Reserved1        : Uint4B
   +0x2b8 Reserved3        : Uint4B
   +0x2bc TimeSlip         : Uint4B
   +0x2c0 AlternativeArchitecture : _ALTERNATIVE_ARCHITECTURE_TYPE
   +0x2c8 SystemExpirationDate : _LARGE_INTEGER
   +0x2d0 SuiteMask        : Uint4B
   +0x2d4 KdDebuggerEnabled : UChar
   +0x2d5 NXSupportPolicy : UChar
   +0x2d8 ActiveConsoleId : Uint4B
   +0x2dc DismountCount    : Uint4B
   +0x2e0 ComPlusPackage   : Uint4B
   +0x2e4 LastSystemRITEventTickCount : Uint4B
   +0x2e8 NumberOfPhysicalPages : Uint4B
   +0x2ec SafeBootMode     : UChar
   +0x2f0 TraceLogging     : Uint4B
   +0x2f8 TestRetInstruction : Uint8B
   +0x300 SystemCall       : Uint4B
   +0x304 SystemCallReturn : Uint4B
   +0x308 SystemCallPad    : [3] Uint8B
   +0x320 TickCount        : _KSYSTEM_TIME
   +0x320 TickCountQuad    : Uint8B
   +0x330 Cookie           : Uint4B

鉴于此，我们可以在用户模式下，判断当前是否有内核调试器。即从 7FFE0000偏移 0x2d4的位置取出 KdDebuggerEnabled 。如下所示：
lkd> db 7FFE02D4
7ffe02d4 00

除此之外，还可以从这里得到系统目录，操作系统主版本号，此版本号，是否安全模式，系统时间，时区等等众多的信息。哈哈，收获很大啊！

http://hi.baidu.com/combojiang/blog/item/6f9b5802e3d8ef094bfb518d.html