本文介绍了调试事件的种类及采集过程，强调了Dbgk开头的API在调试事件生成中的作用。创建和退出进程、线程，以及加载、卸载模块等关键路径上的调试事件由特定函数收集，并通过调试端口传递给调试器。调试事件存储于EventList链表中，调试器通过FAST_MUTEX互斥访问并处理这些事件。
typedef struct _DEBUG_OBJECT
{
KEVENT EventsPresent;//+00用于指示有调试事件发生
FAST_MUTEX Mutex;//+10用于同步互斥体
LIST_ENTRY EventList;//+30保存调试消息的链表
union//标志 调试消息是否以读取
{
ULONG Flags;
struct
{
UCHAR DebuggerInactive:1;
UCHAR KillProcessOnExit:1;
};
};
} DEBUG_OBJECT, *PD
最低0.47元/天 解锁文章
扫一扫
1042
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
