反 DebugAPI 调试？

最新推荐文章于 2022-04-21 21:42:12 发布
最新推荐文章于 2022-04-21 21:42:12 发布
阅读量1.8k 收藏
点赞数
分类专栏： 技术类 文章标签： header thread c list null image
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/lOvEQIaO/article/details/1595985
版权


利用 DebugAPI 调试程序时，系统通过 DbgkForwardException 函数给调试器发送异常等消息。DbgkForwardException 函数又会调用 DbgkpSendApiMessage 函数给调试对象发送调试消息。DbgkpSendApiMessage 再调用 DbgkpQueueMessage 函数把调试消息插入到调试对象的事件队列里面，插入前先获取一个 DbgkpProcessDebugPortMutex 快速互斥体。

根据调试器的这个流程，我们可以写一个驱动始终占有 DbgkpProcessDebugPortMutex，那么被调试进程就会挂在内核代码里面，始终得不到执行。下面用 WinDbg 来演示这个过程。

用 OllyDbg 打开一个程序开始调试，这时候单步什么的都很正常。然后打开 WinDbg 的本地内核调试，

lkd> x nt!DbgkpProcessDebugPortMutex
805576c0 nt!DbgkpProcessDebugPortMutex = <no type information>

lkd> dt nt!_FAST_MUTEX 0x805576c0 /b
   +0x000 Count            : 1
   +0x004 Owner            : (null)
   +0x008 Contention       : 0
   +0x00c Event            : _KEVENT
      +0x000 Header           : _DISPATCHER_HEADER
         +0x000 Type             : 0x1 ''
         +0x001 Absolute         : 0 ''
         +0x002 Size             : 0x4 ''
         +0x003 Inserted         : 0 ''
         +0x004 SignalState      : 0
         +0x008 WaitListHead     : _LIST_ENTRY [ 0x805576d4 - 0x805576d4 ]
            +0x000 Flink            : 0x805576d4
            +0x004 Blink            : 0x805576d4
   +0x01c OldIrql          : 0

lkd> ed 0x805576c0 0

lkd> dt nt!_FAST_MUTEX 0x805576c0 /b
   +0x000 Count            : 0
   +0x004 Owner            : (null)
   +0x008 Contention       : 0
   +0x00c Event            : _KEVENT
      +0x000 Header           : _DISPATCHER_HEADER
         +0x000 Type             : 0x1 ''
         +0x001 Absolute         : 0 ''
         +0x002 Size             : 0x4 ''
         +0x003 Inserted         : 0 ''
         +0x004 SignalState      : 0
         +0x008 WaitListHead     : _LIST_ENTRY [ 0x805576d4 - 0x805576d4 ]
            +0x000 Flink            : 0x805576d4
            +0x004 Blink            : 0x805576d4
   +0x01c OldIrql          : 0

把 _FAST_MUTEX.Count 改为 0，相当于占住了这个快速互斥体。（这里的效果不确定，跟踪发现执行 ExAcquireFastMutex 后就是这个动作，所以这里也就这样做了。^_^）

然后回到 OllyDbg 发现单步没有作用了，原因就是被调试进程挂起在 DbgkpQueueMessage 函数里面，正在等待 DbgkpProcessDebugPortMutex 这个快速互斥体。

lkd> !process 0n3868 2
Searching for Process with Cid == f1c
PROCESS 84aa1020  SessionId: 0  Cid: 0f1c    Peb: 7ffdf000  ParentCid: 0b90
    DirBase: 0a441000  ObjectTable: e3e59eb8  HandleCount:  13.
    Image: DLL_Loader.exe

        THREAD 851a5178  Cid 0f1c.0f20  Teb: 7ffde000 Win32Thread: e11d9bf0 WAIT: (Executive) KernelMode Non-Alertable
            805576cc  SynchronizationEvent

lkd> ln 0x805576cc
(805576c0)   nt!DbgkpProcessDebugPortMutex+0xc   |  (805576e0)   nt!___PchSym_

nt!DbgkpProcessDebugPortMutex+0xc 就是 _FAST_MUTEX 里面的 Event。

这样修改之后，整个系统的 ring3 调试都不起作用了，反调试的代价有点大，呵呵！
 

lOvEQIaO
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 1
    评论
专栏目录
软件加密技术内幕
03-19
chm格式，目录如下。 第1章 PE文件格式深入研究 1.1 PE文件格式格式纵览 1.1.1 区块（Section） 1.1.2 相对虚拟地址（Relative Virtual Addresses） 1.1.3 数据目录 1.1.4 输入函数（Importing Functions） 1.2 PE文件结构 1.2.1 The MS-DOS头部 1.2.2 IMAGE_NT_HEADERS头部 1.2.3 区块表（The Section Table） 1.2.4 各种块（Sections）的描述 1.2.5 输出表 1.2.6 输出转向（Export Forwarding） 1.2.7 输入表 1.2.8 绑定输入（Bound import） 1.2.9 延迟装入数据（Delayload Data） 1.2.10 资源 1.2.11 基址重定位（Base Relocations） 1.2.12 调试目录（DebugDirectory） 1.2.13 NET头部 1.2.14 TLS初始化 1.2.15 程序异常数据 第2章 PE分析工具编写 2.1 文件格式检查 2.2 FileHeader和OptionalHeader内容的读取 2.3 得到数据目录(Data Dircetory)信息 2.4 得到块表(SectionTable)信息 2.5 得到输出表(ExportTable)信息 2.6 得到输入表(ImportTable)信息 第3章 Win32 调试API 3.1 Win32调试API原理 3.1.1 调试相关函数简要说明 3.1.2 调试事件 3.1.3 如何在调试时创建并跟踪一个进程 3.1.4 最主要的循环体 3.1.5 如何处理调试事件 3.1.6 线程环境详解 3.1.7 如何在另一个进程中注入代码 3.2 利用调试API编写脱壳机 3.2.1 tElock 0.98脱壳简介 3.2.2 脱壳机的编写 3.3 利用调试API制作内存补丁 3.3.1 跨进程内存存取机制 3.3.2 Debug API机制 第4章 Windows下的异常处理 4.1 基本概念 4.1.1 Windows下的软件异常 4.1.2 未公开的可靠吗 4.2 结构化异常处理（SEH） 4.2.1　异常处理的基本过程 4.2.2 SEH的分类 4.2.3 相关API 4.2.4　SEH相关数据结构 4.3 异常处理程序设计 4.3.1　顶层（top-level）异常处理 4.3.2 线程异常处理 4.3.3 异常处理的堆栈展开（Stack unwind） 4.3.4 异常处理程序设计中的几个注意事项： 4.4 SEH的简单应用 4.4.1 Win9x下利用SEH进ring0 4.4.2 利用SEH实现对自身的单步自跟踪 4.4.3 其它应用 4.5 系统背后的秘密 4.6 VC是如何封装系统提供的SEH机制的 4.6.1 扩展的EXCEPTION_REGISTRATION级相关结构 4.6.2 数据结构组织 4.7 Windows XP下的向量化异常处理（VEH） 第5章 软件加密技术 5.1 反调试技术（Anti-Debug） 5.1.1 句柄检测 5.1.2 SoftICE后门指令 5.1.3 int68子类型 5.1.4 ICECream子类型 5.1.5 判断NTICE服务是否运行 5.1.6 INT 1 检测 5.1.7 利用UnhandledExceptionFilter检测 5.1.8 INT 41子类型 5.2 反跟踪技术（Anti-Trace） 5.2.1 断点检测 5.2.2 利用SEH反跟踪 5.2.3 SMC技术实现 5.3 反加载技术(Anti-Loader) 5.3.1 利用TEB检测 5.3.2 利用IsDebuggerPresent函数检测 5.3.3 检查父进程 5.4 反DUMP技术(Anti-Dump) 5.5 文件完整性检验 5.5.1 CRC校验实现 5.5.2 校验和（Checksum） 5.5.3 内存映像校验 5.6 反监视技术(Anti-Monitor) 5.6.1 窗口方法检测 5.6.2 句柄检测 5.7 反静态分析技术 5.7.1 扰乱汇编代码 5.7.2 花指令 5.7.3 信息隐藏 5.8 代码与数据结合技术 5.9 软件保护的若干忠告 第6章 加壳软件编写 6.1 外壳编写基础 6.1.1 判断文件是否是PE格式的EXE文件 6.1.2 文件基本数据的读入 6.1.3 额外数据保留 6.1.4 重定位数据的去除 6.1.5 文件的压缩 6.1.6 资源区块的处理 6.1.7 区块的融合 6.1.8 输入表的处理 6.1.9 外壳部分的编写 6.1.10 将外壳部分添加至原程序 6.1.10 小结 6.2 加壳程序综合运用的实例 6.2.1 程序简介 6.2.2 加壳子程序（WJQ_ShellBegin（）） 6.2.3 PE外壳程序 6.2.4 加进Anti技术 6.2.5 通过外壳修改被加壳PE 6.2.6 VC++调用汇编子程序 第7章 如何让壳与程序融为一体 7.1 序 7.1.1 为何需要壳和程序一体化 7.1.2 为阅读此章节需要的知识 7.1.3 基于此章节用的的例子程序说明 7.2 欺骗检查壳的工具 7.2.1 fi是如何检查壳的 7.2.2 欺骗fi 7.3 判断自己是否给脱壳了 7.3.1 判断文件尺寸 7.3.2 检查标记 7.3.3 外部检测(使用dll) 7.3.4 hook 相关的api(防止loader和调试api) 7.4 使用sdk把程序和壳溶为一体 7.4.1 sdk的意义 7.4.2 做一个带sdk的壳 7.5 后记:关于壳和程序的思考 第8章 Visual Basic 6 逆向工程 8.1 简介 8.2 P-code传奇 8.3 VB编译奥秘 8.4 VB与COM 8.5 VB可执行程序结构研究 8.6 VB程序事件解读 8.7 VB程序图形界面（GUI）解读 8.8 VB程序执行代码研究 8.9 我们的工具 8.10 VB程序保护篇 附录A 在Visual C++中使用内联汇编 附录B 在Visual Basic中使用汇编
脱壳的艺术 加解密必备参考书的中文翻译版 CHM格式
11-24
脱壳是门艺术——脱壳既是一种心理挑战，同时也是逆向领域最为激动人心的智力游戏之一。为了甄别或解决非常难的反逆向技巧，逆向分析人员有时不得不了解操作系统的一些底层知识，聪明和耐心也是成功脱壳的关键。这个挑战既牵涉到壳的创建者，也牵涉到那些决心躲过这些保护的脱壳者。 本文主要目的是介绍壳常用的反逆向技术，同时也探讨了可以用来躲过或禁用这些保护的技术及公开可用的工具。这些信息将使研究人员特别是恶意代码分析人员在分析加壳的恶意代码时能识别出这些技术，当这些反逆向技术阻碍其成功分析时能决定下一步的动作。第二个目的，这里介绍的信息也会被那些计划在软件中添加一些保护措施用来减缓逆向分析人员分析其受保护代码的速度的研究人员用到。当然没有什么能使一个熟练的、消息灵通的、坚定的逆向分析人员止步的。 电子书目录： 脱壳的艺术 1 概述： 2 1简介 3 2 调试器检测技术 4 2.1 PEB.BeingDebugged Flag : IsDebuggerPresent() 4 2.2 PEB.NtGlobalFlag , Heap.HeapFlags, Heap.ForceFlags 4 PEB.NtGlobalFlag 4 Heap Flags 4 2.3 DebugPort: 5 CheckRemoteDebuggerPresent()/NtQueryInformationProcess() 5 2.4 Debugger Interrupts 7 2.5 Timing Checks 8 2.6 SeDebugPrivilege 8 2.7 Parent Process（检测父进程） 9 2.8 DebugObject: NtQueryObject() 9 2.9 Debugger Window 10 2.10 Debugger Process 11 2.11 Device Drivers 11 2.12 OllyDbg：Guard Pages 11 3 断点和补丁检测技术 13 3.1 Software Breakpoint Detection 13 3.2 Hardware Breakpoint Detection 13 3.3 Patching Detection via Code Checksum Calculation 14 4反分析技术 15 4.1 Encryption and Compression 15 加密壳 15 Compression 16 4.2 Garbage Code and Code Permutation 16 Garbage Code 16 Code Permutation 17 4.3 Anti-Disassembly 18 5 调试器攻击技术 20 5.1 Misdirection and Stopping Execution via Exceptions 20 5.2 Blocking Input 21 5.3 ThreadHideFromDebugger 22 5.4 Disabling Breakpoints 22 5.5 Unhandled Exception Filter 23 5.6 OllyDbg:OutputDebugString() Format String Bug 24 6. 高级及其它技术 24 6.1 Process Injection 24 6.2 Debugger Blocker 25 6.3 TLS Callbacks 25 6.4 Stolen Bytes 27 6.5 API Redirection 27 6.6 Multi-Threaded Packers 28 6.7 Virtual Machines 28 7. 工具 29 7.1 OllyDbg 29 7.2 Ollyscript 29 7.3 Olly Advanced 29 7.4 OllyDump 30 7.5 ImpRec 30 8 参考 30 书籍：Windows和处理器底层 30 链接：Windows底层 30 链接：逆向工程，软件保护，脱壳 30
2017年恶意代码威胁回顾和快速分析实践.pdf
08-08
2017年供应链攻击，勒索事件和Office漏洞层出不穷，恶意代码的复杂性也在不断进化。我们下面将分享一些在我们日常工作中针对不同类型样本自动化分析的一些方法和例子。我们会结合过去一年中的重点事件讲述这些技巧的应用。我们还会讲到我们在分析NotPetya勒索病毒过程当中一些有趣的发现。 内容提纲 1.恶意文档分析技巧 漏洞 VBA 2.API/字符串解密 API解密 字符串解密 3.反调试/反虚拟机/反沙箱技术 anti-debug anti-vm anti-sandbox 4.shellcode分析技巧 loader shellcode to exe scdbg 5.finspy x86混淆 代码虚拟化 6.其它一些有助于分析的工具和脚本 7.代码混淆技术 8.NotPetya中一个有趣的发现
软件加密技术内幕配套光盘（iso版本）
10-19
光盘: ├─chap01....................................第1章 PE文件格式的深入分析 │ └─PEDump.zip ;Matt Pietrek的PEDUMP程序 │ ├─chap02....................................第2章 PE分析工具编写 │ ├─PEInfo_example ;PE分析工具样例 │ └─Test ;TestSH.exe，这个程序的OptionalHeader的大小为0xD0 │ ├─chap03....................................第3章 Win32 调试API │ ├─内存补丁 │ │ ├─进程间内存共享机制应用.txt │ │ ├─使用Dr X调试寄存器框架程序.txt │ │ └─bpm example code ;yoda的实例，演示利用Ntdll.ntcontinue作为跳板在入口点处中断 │ └─脱壳机 │ ├─Unlock.asm ;脱壳机的源程序 │ ├─unlock.exe ;己编译好的脱壳机程序 │ └─locked.exe ;被tElock 0.98保护的记事本程序 │ ├─chap04....................................第4章 Windows下的异常处理 │ ├─sehRelease │ │ ├─sehdef.inc ;完整的异常代码列表 │ │ ├─s1.asm ;例子1.演示Final型异常处理及参数获取 │ │ ├─s2.asm ;例子2.演示Per_Thread型异常处理 │ │ ├─s3.asm ;例子3.演示Per_Thread型异常处理的嵌套处理 │ │ └─S4.ASM ;例子4.演示异常处理的堆栈展开 │ ├─ring ;例子5.演示Windows9x进特权级Ring0 │ ├─singlestep ;例子6.演示SEH实现单步自跟踪 │ └─veh ;例子7.VEH代码演示 │ ├─chap05....................................第5章 反跟踪技术 │ ├─Anti-Debug ;5.1 反调试技术 │ │ ├─MeltICE ;句柄检测 │ │ ├─Back Door ;SoftICE后门指令 │ │ ├─int 68 ;int68子类型 │ │ ├─ICECream ;ICECream子类型 │ │ ├─NticeService ;判断NTICE服务是否运行 │ │ ├─int1 ;INT 1 检测 │ │ ├─UnhandledExceptionFilter ;利用UnhandledExceptionFilter检测 │ │ └─int41 ;INT 41子类型 │ ├─DetectBreakpoint ;5.2 断点检测技术 │ │ ├─SEHbpx ;利用SEH防范BPX断点 │ │ ├─SEHbpm ;利用SEH防范BPM断点 │ │ └─IsBPX ;检测函数首地址 │ ├─Anti-Loader ;5.3 反加载技术 │ │ ├─TEB ;利用TEB检测 │ │ ├─IsDebuggerPresent ;利用IsDebuggerPresent函数检测 │ │ └─CheckParentProc ;检查父进程 │ ├─Anti-Monitor ;5.4 反监视技术 │ │ ├─AntiProcDump ;窗口方法检测ProcDump │ │ └─Anti-Filemon&Regmon ;句柄检测Filemon和Regmon │ ├─Anti-Disassemble ;5.5 反静态分析技术 │ │ ├─pushre ;扰乱汇编代码 │ │ ├─SMC ;SMC技术实现 │ │ └─花指令 ;花指令样例 │ ├─CRC ;5.7 文件完整性校验 │ │ ├─磁盘文件校验 │ │ │ ├─add2crc32 ;计算文件CRC32的工具，可以将结果写进文件里 │ │ │ └─crc32 ;待校验的程序 │ │ ├─内存映像校验 │ │ │ ├─memcrc32 │ │ │ │ └─src │ │ │ │ ├─add2memcrc32 ;计算PE文件代码区块CRC32的工具，可以将结果写进文件里 │ │ │ │ └─memcrc32 ;需要校验内存代码数据的程序 │ │ │ └─Detect Breakpoint ;校验内存中的片段代码的样例 │ │ └─CRC原理 ;arbin翻译的《CRC原理及其逆向分析方法》 │ └─codeEncrypt ;5.8 代码与数据结合技术 │ ├─codeEncrypt ;代码与数据结合的实例 │ └─tools ;Encrypter.exe工具及其源码 │ ├─Chap06....................................第6章 加壳软件编写 │ ├─prot ;本章实例加壳工具prot v0.46及其源码 │ ├─aPLib引擎 ;aPLib压缩引擎 │ └─TestUseVC ;Spring的加壳程序综合运用的实例 │ ├─Chap07....................................第7章 如何让壳与程序融为一体 │ ├─7.1 欺骗检查壳的工具 │ │ ├─aspack212压缩 │ │ ├─aspack212压缩后更改入口代码 │ │ ├─aspack压缩后再修改过的壳加壳 │ │ ├─aspack压缩后再自己加壳 │ │ ├─实例（没加壳） │ │ ├─自己加的壳 │ │ ├─自己的加壳工具 │ │ │ ├─原版壳的程序 │ │ │ └─更改后的壳的程序程序 │ │ └─tools │ │ ├─fi ;测试用的FileInfo工具 │ │ └─aspack212 ;测试用的Aspack加壳工具 │ ├─7.2判断自己是否给脱壳 │ │ ├─7.2.1 判断文件尺寸 │ │ ├─7.2.4 使用存储映像文件检查标记 │ │ ├─7.2.2 使用同步对象检查标记 │ │ ├─7.2.3 使用原子（ATOM）检查标记 │ │ ├─7.2.5 使用线程优先权检查标记 │ │ ├─7.2.6 使用外部文件检查标记 │ │ └─7.2.8 注入一个定时器 │ └─7.3 使用SDK把程序和壳溶为一体 │ ├─test ;实例 │ └─sdk壳的程序 │ ├─chap08....................................第8章 Visual Basic 6 逆向工程 │ ├─example1 ;演示虚函数表的概念 │ ├─example2 ;如何处理事件的虚函数表 │ ├─example3 ;利用SEH反加载 │ ├─example4 ;演示如何更改程序结构 │ ├─example5 ;本例简单说明了如何直接修改vb6程序的控件属性值 │ ├─example6 ;一个VB6 P-code Crackme分析实例 │ └─example7 ;VB“自锁”功能实现的实例 │ ├─附录A.....................................附录A 在Visual C++中使用内联汇编 │ ├─InlineASM ;内联汇编实例 │ └─SeparateASM ;VC 中调用 MASM 独立汇编实例 │ └─附录B.....................................附录B 在Visual Basic中使用汇编 ├─TweakVB ;TweakVB 控件（http://www.tweakvb.com/） ├─VBInlineAsm ;VBInlineAsm控件 └─Compile Controller ;Compile Controller控件 ;（http://www.fawcette.com/archives/premier/mgznarch/vbpj/1999/11nov99/jc1199/jc1199.asp）
AntiCheat：反重力
02-13
抗重力作弊low AntiCheat通过监视和分析其播放器的行为，帮助服务器管理员轻松识别和阻止恶意用户。 用法 只需将插件拖放到Plugins文件夹中即可。 可选配置和权限可用： 开发人员资源 API用法： : JavaDocs： ： 错误报告/支持/问题 应该通过点击上面的“标签来提交。 在打开新票之前，请确保您已搜索问题。 所有打开的故障报告票都需要调试日志，其中包括有关问题的日志。 为此，请在服务器上键入/anticheat debug 。 请注意，为使调试输出包含有效信息并帮助我们诊断问题，您需要在问题至少发生一次之后以及重新加载或重新启动它之前发出此命令。 资源 BukkitDev： ://dev.bukkit.org/server-mods/anticheat/ 开发版本： : 最新版本下载： : 最新开发人员下载： : 编译中 Anti
【系统篇】从int 3探索Windows应用程序调试原理
weixin_30300225的博客
09-28 224
探索调试器下断点的原理 　　在Windows上做开发的程序猿们都知道，x86架构处理器有一条特殊的指令——int 3，也就是机器码0xCC，用于调试所用，当程序执行到int 3的时候会中断到调试器，如果程序不处于调试状态则会弹出一个错误信息，之后程序就结束。使用VC开发程序时，在Debug版本的程序中，编译器会向函数栈帧中填充大量的0xCC，用于调试使用。因此，经常我们的程序发生缓冲区...
通过硬件断点对抗hook检测
hongduilanjun的博客
04-21 2035
前言 我们知道常见的注入方式有IAT hook、SSDT hook、Inline hook等，但其实大体上可以分为两类，一类是基于修改函数地址的hook，一类则是基于修改函数代码的hook。而基于修改函数地址的hook最大的局限性就是只能hook已导出的函数，对于一些未导出函数是无能为力的，所以在真实的hook中，Inline hook反而是更受到青睐的一方。 hook测试 这里我用win32写了一个MessageBox的程序，当点击开始按钮就会弹窗，这里我写了一个Hook_E9函数用来限制对Message
PP保护4:DbgkpProcessDebugPortMutex与DbgkDebugObjectType
netword12345的专栏
03-05 1541
PP保护对DbgkpProcessDebugPortMutex进行了处理,在其count里不停写入100,造成的后果就是OD一打开,就卡死了. PP保护还会遍历OBJECT,如果发现存在有DEBUG_OBJECT类型的OBJECT,就直接重启了。 所以要处理它们，处理互斥体的是这样的，自己申请一段内存，放在PP保护写入的地址处，然后把真正的MUTEX释放掉就OK了： 处理DbgkDebug
Windows内核分析——内核调试机制的实现（NtCreateDebugObject、DbgkpPostFakeProcessCreateMessages、DbgkpPostFakeThreadMes...
weixin_30622181的博客
03-31 433
本文主要分析内核中与调试相关的几个内核函数。 首先是NtCreateDebugObject函数，用于创建一个内核调试对象，分析程序可知，其实只是一层对ObCreateObject的封装，并初始化一些结构成员而已。 我后面会写一些与window对象管理方面的笔记，会分析到对象的创建过程。 来自WRK1.2 NTSTATUS NtCreateDebugObject ( OUT P...
windows下的用户态调试的底层与上层实现
weixin_33910759的博客
03-05 157
操作系统：windows XP   调试器通过CreateProcess传入带有DEBUG_PROCESS和DEBUG_ONLY_THIS_PROCESS的dwCreationFlags创建被调试进程。这种情况下，进程创建的早期（执行NtCreateProcess或NtCreateProcessEx之前），调用DbgUiConnectToDbg（）使调用线程和调试子系统建立连接。DbgUiCo...
dbgk(国外的三篇win调试机制的分析教程)
08-26
关于windows提高的调试机制以及反调试手段的详细介绍。注意英文版。
Windows软件调试学习笔记（五）—— 软件断点&内存断点
qq_41988448的博客
08-05 1862
软件调试学习笔记（五）—— 软件断点调试的本质软件断点分析INT 3执行流程 调试的本质 描述： 1）调试的本质是触发异常与调试器接管异常的过程。 2）不论是软件断点，硬件断点还是INT 3断点，本质都是触发异常。 软件断点 当使用调试器在任意代码位置设置断点时，本质上是将当前代码位置的字节码改为0xCC，对应的汇编指令为INT 3。 调试器为了界面的美观，不会直接在反汇编界面将修改后的数据显示出来。 可以使用WinHex查看内存数据进行验证。 软件断点执行流程： 被调试进程： 1）CPU检测到INT
Windows对异常的管理（描述、分发和处理）及源码剖析
qq_42814021的博客
11-17 979
异常 Windows中异常处理分为两种： 硬件异常：CPU产生的异常。 软件异常：通过软件方式模拟出的异常，RaiseException 或 throw。 先来介绍一下软件异常，throw抛出异常底层也是通过RaiseException实现的，因此我们从throw开始！ C++异常处理 C++中的异常处理机制由try、throw、catch组成。 try语句块负责监视异常； throw语句用于异常信息的发送，也称为抛出异常； catch语句用于异常的捕获，并作出相应的处理。 代码结构如下： try { /
VC中的异常处理
wodamazi
09-01 157
在读《软件调试》的十一章时，感受到异常处理在VC中是十分重要的。以前自己写代码或者是看身边的人写的代码都很少用到异常处理，但最近在工作中会接触到老外牛人写的代码，几乎在每个关键的代码块都提供了异常处理，虽然在这些异常处理代码中只是简单的将异常的相关信息写入Event Viewer，但这已经对我们找到bug和了解系统运行情况提供了很大的帮助。于是乎我把学习这一章的心得总结出来，供大家分享。 ...
过保护 DebugPort 清零相关
weixin_33790053的博客
04-19 273
一个程序被ring3调试器调试时，有很多的调试特征可以检测，本论坛也有专门的帖子详细论述，但有个非常根本的标志ring3也是可以检测的比较少人提及，那就是_EPROCESS.DebugPort。DebugPort对于ring3调试器来说非常重要，没有它正常的ring3调试是无法进行的。当然要检测这个标志的前提是程序能够读取ring0内存，在XP以上的系统有个非常简单的方法...
中断和异常
u012138730的专栏
05-10 2910
最近在看内存方面的知识，打算写一系列的博客分享记录一下。 本文介绍任务管理器里各个内存项的含义以及用一个例子也解释独占性。 目录 内存项含义 1.工作集Working Set(内存)=内存（专用工作集）+ 内存（共享工作集） 2.提交大小 Comitted Memory 内存的独占性 内存项含义 打开任务管理--详细信息---右键选择列，选择下面这4个。 1....
内核反调试
liuhaidon1992的博客
01-08 1271
1.钩子 对调试器附加过程中所用到的函数挂钩。 比如：NtOpenProcess、ZwDebugActiveProcess、RtlCreateUserThread、NtDebugContinue、 NtCreateDebugObject、NtWaitForDebugEvent 调试事件采集函数：DbgkCreateThread、DbgkExitThread、DbgkExitProcess...
int3 Windows系统调试原理
ALakers的博客
09-19 1190
本文转自：https://www.cnblogs.com/xuanyuan/p/3998408.html 探索调试器下断点的原理 　　在Windows上做开发的程序猿们都知道，x86架构处理器有一条特殊的指令——int 3，也就是机器码0xCC，用于调试所用，当程序执行到int 3的时候会中断到调试器，如果程序不处于调试状态则会弹出一个错误信息，之后程序就结束。使用VC开发程序时，在Debug版本的程序中，编译器会向函数栈帧中填充大量的0xCC，用于调试使用。因此，经常我们的程序发生缓冲区溢出时，
Windows SEH学习 x86
weixin_30519071的博客
07-19 255
windows提供的异常处理机制实际上只是一个简单的框架。我们通常所用的异常处理（比如C++的throw、try、catch）都是编译器在系统提供的异常处理机制上进行加工了的增强版本。这里先抛开增强版的不提，先说原始版本。 原始版本的机制很简单：谁都可以触发异常，谁都可以处理异常（只要它能看得见）。但是不管是触发还是处理都得先注册。系统把这些注册信息保存在一个链表里，并...
idea debug断点调试
最新发布
08-29
在IDEA中，debug断点调试是一种调试方法，可以帮助开发人员定位和解决代码中的问题。通过设置断点，我们可以在程序执行过程中暂停代码的执行，从而可以逐行查看代码的执行情况，检查变量的值以及调用堆栈等信息。在...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值