NT6动态开启本地内核调试

最新推荐文章于 2021-10-24 11:57:41 发布

zhuhuibeishadiao

最新推荐文章于 2021-10-24 11:57:41 发布

阅读量1.2k

点赞数

分类专栏：驱动学习调试文章标签： PG 本地内核调试内核

本文链接：https://blog.csdn.net/zhuhuibeishadiao/article/details/51055047

版权

驱动学习同时被 2 个专栏收录

94 篇文章 24 订阅

订阅专栏

调试

9 篇文章 1 订阅

订阅专栏

两个未导出变量位置在KdSystemDebugControl下
本地内核调试需要用到KdSystemDebugControl函数要动态的内核调试就需要来看看它干了什么

PAGE:00000001404D9C00
PAGE:00000001404D9C00                 mov     [rsp+arg_0], rbx
PAGE:00000001404D9C05                 mov     [rsp+arg_8], rdi
PAGE:00000001404D9C0A                 push    r12
PAGE:00000001404D9C0C                 sub     rsp, 170h
PAGE:00000001404D9C13                 mov     r10, rdx
PAGE:00000001404D9C16                 and     [rsp+178h+var_134], 0
PAGE:00000001404D9C1B                 and     qword ptr [rsp+178h+var_130], 0
PAGE:00000001404D9C21                 and     [rsp+178h+P], 0
PAGE:00000001404D9C27                 cmp     cs:KdpBootedNodebug, 0
PAGE:00000001404D9C2E                 jnz     loc_1404DA4B7
PAGE:00000001404D9C34                 cmp     cs:KdPitchDebugger, 0
PAGE:00000001404D9C3B                 jnz     loc_1404DA4B7
PAGE:00000001404D9C41                 cmp     cs:KdDebuggerEnabled, 0
PAGE:00000001404D9C48                 jz      loc_1404DA4B7
PAGE:00000001404D9C4E                 cmp     ecx, 0Eh
PAGE:00000001404D9C51                 jg      loc_1404DA1D1
PAGE:00000001404D9C57                 cmp     ecx, 0Eh
PAGE:00000001404D9C5A                 jz      loc_1404DA112
PAGE:00000001404D9C60                 sub     ecx, 7
PAGE:00000001404D9C63                 jz      loc_1404DA0EB

比较了KdpBootedNodebug KdPitchDebugger KdDebuggerEnabled
据我的了解KdpBootedNodebug非调试为1 此值是调试模式得代表之一
KdPitchDebugger 非调试也为1
KdDebuggerEnabled 不用多说调试为1 非调试为0
而loc_1404DA4B7是返回失败
那么不用多说了
KdpBootedNodebug = FALSE;
KdPitchDebugger = FALSE;
KdDebuggerEnabled = TRUE;

Win8/8.1:KdLocalDebugEnabled = TRUE;