微型调试器

不知道你有没有听说过OD，我们可以模仿他的思路

下int 3软件断点，然后获得线程上下文就可以了。

MSDN里面有大量的Debugging Functions，你可以去看下。下面是一段微型调试器的代码

C/C++ code

   
   

    
    
    
    
#include 
    
    <
    
    windows.h
    
    >
    
    
#include 
    
    <
    
    stdio.h
    
    >
    
    
#include 
    
    <
    
    assert.h
    
    >
    
    


    
    int
    
     main()
{
     DEBUG_EVENT d;
     DWORD mark;
     BOOL initBP,r;
     DWORD pid;

     initBP
    
    =
    
    0
    
    ;
     printf(
    
    "
    
    set pid=? 
    
    "
    
    );
     scanf(
    
    "
    
    %d
    
    "
    
    ,
    
    &
    
    pid);
     r
    
    =
    
    DebugActiveProcess(pid); 
    
    /*
    
     开始调试 
    
    */
    
    
     assert(r);

     printf(
    
    "
    
    debugging...
    
    "
    
    );

     
    
    for
    
     (;;)
     {
         
    
    if
    
     (
    
    !
    
    WaitForDebugEvent(
    
    &
    
    d,INFINITE)) 
    
    /*
    
     等待调试事件 
    
    */
    
    
             assert(
    
    0
    
    );
         
    
    switch
    
     (d.dwDebugEventCode)
         {
         
    
    case
    
     CREATE_PROCESS_DEBUG_EVENT: 
         
    
    case
    
     EXIT_PROCESS_DEBUG_EVENT:
         
    
    case
    
     CREATE_THREAD_DEBUG_EVENT:
         
    
    case
    
     EXIT_THREAD_DEBUG_EVENT:
         
    
    case
    
     LOAD_DLL_DEBUG_EVENT:
         
    
    case
    
     UNLOAD_DLL_DEBUG_EVENT:
         
    
    case
    
     OUTPUT_DEBUG_STRING_EVENT:
         
    
    case
    
     RIP_EVENT:
             mark
    
    =
    
    DBG_CONTINUE; 
    
    /*
    
     这些事件都不需要处理，让目标直接运行 
    
    */
    
    
             
    
    break
    
    ;
         
    
    case
    
     EXCEPTION_DEBUG_EVENT:
             
    
    if
    
     (initBP) 
             {
                 mark
    
    =
    
    DBG_EXCEPTION_NOT_HANDLED; 
    
    /*
    
     没处理就是没处理
    
    */
    
    
             }
             
    
    else
    
    
             {
                 initBP
    
    =
    
    1
    
    ;
                 mark
    
    =
    
    DBG_CONTINUE; 
    
    /*
    
     初始断点要特别留意 
    
    */
    
    
             }
             
    
    break
    
    ;
         }
         
    
    if
    
     (
    
    !
    
    ContinueDebugEvent(
             d.dwProcessId,
             d.dwThreadId,mark)) 
    
    /*
    
     继续执行目标程序 
    
    */
    
    
             assert(
    
    0
    
    );
         
    
    if
    
     (d.dwDebugEventCode
    
    ==
    
    EXIT_PROCESS_DEBUG_EVENT)
             
    
    break
    
    ;
     }
     printf(
    
    "
    
    stopped/n
    
    "
    
    );

     
    
    return
    
     
    
    0
    
    ;
}


   
   

如上是直接附加到活动进程，如果我们学着OD，加载进程后，在OEP那里断下的话，用CreateProcess创建进程，标志位打上Debug标志即可，类似下面这样

C/C++ code

   
   

    
    
    
    
STARTUPINFO   st   
    
    =
    
       {
    
    0
    
    }; 
PROCESS_INFORMATION   pro   
    
    =
    
       {
    
    0
    
    }; 
st.cb   
    
    =
    
       
    
    sizeof
    
    (st); 
CreateProcess(NULL,   
    
    "
    
    d://test.exe 
    
    "
    
    ,   NULL,   NULL,   TRUE,    
DEBUG_ONLY_THIS_PROCESS, 
NULL,   NULL,   
    
    &
    
    st,   
    
    &
    
    pro); 

CloseHandle(pro.hThread); 
CloseHandle(pro.hProcess); 
DEBUG_EVENT   dbe; 
BOOL   rc; 

    
    while
    
    (WaitForDebugEvent(
    
    &
    
    dbe,   INFINITE)) 
{ 
  
    
    if
    
    (dbe.   dwDebugEventCode 
    
    ==
    
     EXIT_PROCESS_DEBUG_EVENT) 
   
    
    break
    
    ; 
  ContinueDebugEvent(dbe.dwProcessId, dbe.dwThreadId ,DBG_CONTINUE   ); 
}    

    
    //
    
    有的代码我就略过了，在上课，不方便写很多
    
    

   
   

软件断点（INT3）：对应的异常是 EXCEPTION_BREAKPOINT，处理方式为恢复代码为原来字节，并将EIP减一，并设置单步以便进入单步后重新设置这个一般断点。

那么现在要解决的问题就剩一个了，就是写入断点int3，OEP那边断下之后就要写，然后开始执行。

这个可以用WriteProcess实现，当你初次加载之后，进程虽然断下来了，但是PE已经加载进了内存空间中。
根据偏移，把int 3对应的十六进制0xCC指令写入

断下来之后，用GetThreadContext获得线程上下文就可以得到寄存器的值了

这里有些注意点，看下面的代码

C/C++ code

   
   

    
    
    
    

    
    if
    
     (r
    
    ->
    
    ExceptionCode
    
    ==
    
    EXCEPTION_BREAKPOINT) 
    
    /*
    
     触发了断点中断 
    
    */
    
                
{              
    
    /*
    
     根据中断地点查找断点记录 
    
    */
    
                  
    bp
    
    =
    
    find(ps
    
    ->
    
    bps,MAX_BP,(DWORD)r
    
    ->
    
    ExceptionAddress);               
    
    
    if
    
     (bp) 
    
    /*
    
     是调试器安置的断点 
    
    */
    
                  
    {                
        t
    
    =
    
    find(ps
    
    ->
    
    ts,MAX_THRD,d.dwThreadId); 
    
    /*
    
     取线程上下文 
    
    */
    
                    
        memset(
    
    &
    
    ctx,
    
    0
    
    ,
    
    sizeof
    
    (ctx));                
        ctx.ContextFlags
    
    =
    
    CONTEXT_FULL;                
        f
    
    =
    
    GetThreadContext(t
    
    ->
    
    h,
    
    &
    
    ctx);                
        assert(f);                
        ctx.Eip
    
    --
    
    ;          
    
    /*
    
     将指令指针值减1 
    
    */
    
                    
        ctx.EFlags
    
    |=
    
    TF_BIT; 
    
    /*
    
     打开CPU单步标记 
    
    */
    
                   
        f
    
    =
    
    SetThreadContext(t
    
    ->
    
    h,
    
    &
    
    ctx); 
    
    /*
    
     向目标写入修改过的上下文 
    
    */
    
                    
        assert(f);                       
        ps
    
    ->
    
    write_back
    
    =
    
    bp; 
    
    /*
    
     标记该进程在单步结束后准备写回的断点 
    
    */
    
                   
        safe_write(ps
    
    ->
    
    h,bp
    
    ->
    
    addr,bp
    
    ->
    
    c); 
    
    /*
    
     写入被断点覆盖的代码 
    
    */
    
                   
        on_bp(d.dwProcessId,d.dwThreadId,bp
    
    ->
    
    addr); 
    
    /*
    
     用户处理 
    
    */
    
                            
        suspend_except(ps
    
    ->
    
    ts,d.dwThreadId); 
    
    /*
    
     挂起除异常线程外的所有线程 
    
    */
    
                   
        mark
    
    =
    
    DBG_CONTINUE;              
    }
}