第一步:获取需要调试驱动名字(360SelfProtection.sys)。
第二步:搭建“VM+windbg”双机调试环境
第三步:在宿主机windbg中输入:sxe ld 360SelfProtection.sys(注;sxe 当发生该异常时,在任何错误处理器被激活之前目标立即中断到调试器中。ld;Load Module.指令参考链接:http://www.cnblogs.com/guanlaiy/archive/2012/12/18/2822920.html)。输入指令G,让系统运行起来。一会将会中断。
第四步:输入lm,显示中断时系统加载的模块。可以看到,系统在加载360SelfProtection时,windbg 中断下来了。
第五步:输入命令lmDvm360SelfProtection,查看360SelfProtection的详细信息。将start下的地址记下。该地址为模块的加载基址。
第六步:根据PE结构计算出,驱动入口地址。BaseAddress+poi(poi(BaseAddress+0x3c)+BaseAddress+0x28)
第七步:输入指令g。使系统继续指令。系统断在该驱动模块的入口地址处