用户态调试模型

在用户态调试过程中调试器和被调试进程是两个独立的进程，而调试器需要通过控制被调试进程来进行调试，这与独立的两个进程之间的数据不可互相访问相矛盾。考虑进程的逻辑内存共4G大小，而高2G为系统空间，在实际中所有进程共用同一个系统空间。所以为了然调试器进程控制被调试进程需要有系统内核的支持，我们将这部分成为调试子系统。

调试子系统主要由3个部分组成：位于NTDLL中的支持函数，位于内核文件中的支持函数，以及调试子系统服务器。

NTDLL为用户态提供了访问系统内核的接口，同样为了访问内核的调试支持功能也需要通过NTDLL。

而内核文件中提供了采集和传递调试时间的支持。

最后调试系统服务器来管理调试会话和调试消息，是所有调试设施的核心。

有了以上调试子系统的支持调试器只需要与消息驱动的普通程序一样等待调试消息到来，去处理调试消息就可以了。

内核系统在系统的事件发生时采集下列信息：

以下列结构：

调用下列函数向调试器发送调试消息：

调试子系统，被调试进程，调试器三者的互动如下：

其中debugobject结构如下，是调试器和调试子系统之间数据传递的重要纽带。