阅读摘要:
在下面有符号的调试中断方法中,第二种方法没有成功,用第一种成功了。
我的环境是win7 32,虚拟机系统也是,使用的sdk两种6001 7600都试过了,不知道是什么缘故
1.无符号文件的驱动中断DriverEntry方法一:
- 在加载驱动之前,先使用设置异常命令sxe,设置加载驱动文件时中断.
命令格式:sxe ld <驱动文件名>
- 加载驱动中断后,使用lm命令查看驱动模块的基址.
命令格式:lm m <驱动文件名>
- 通过计算PE文件入口点地址,得到DriverEntry的地址.
计算公式如下:
DriverEntry = moduleBase + *(DWORD*)( moduleBase + *(DWORD*)(moduleBase + 0x3C ) + 0x28);
WinDBG命令如下:
bp moduleBase +poi( moduleBase + poi( moduleBase + 0x3C ) + 0x28 )
2.无符号文件的驱动中断DriverEntry方法二:
- 首先使用命令:uf nt!IopLoadDriver 在WinDBG中查看该函数的反汇编指令.
- 在反汇编窗口中向下找到nt!IopLoadDriver+0x663地址.通过命令:bp nt!IopLoadDriver+0x663对地址下断点.
8057777c ff572c call dword ptr [edi+2Ch]<----进入这个call里面就是DriverEntry
3.有符号文件的驱动中断DriverEntry方法:
- 加载驱动符号文件后使用命令:bp <驱动文件名>!DriverEntry
4.有源码情况下的方法:
- 在DriverEntry函数开始位置增加下面的代码.
#ifdef _DBG
__asm int 3
#endif