搜索论坛 帖子排序:  Oldest to newest Newest to oldest

2008-12-08, 11:46 上午 井底之蛙 注册: 2008-12-03 发 贴: 15 WinDBG的bug WinDBG好像有这样一个bug： 找个IDT中的中断处理程序，在入口处下个断点，触发异常，WinDBG就断下来了，根据中断门的原理，这时只有CS,EIP,TF,IF,SS,ESP会发生变化，其它的寄存器应该不变。但WinDBG自做主张把FS寄存器改成了30h，看看除0异常： nt!KiTrap00: 8053f19c 6a00 push 0 8053f19e 66c74424020000 mov word ptr [esp+2],0 8053f1a5 55 push ebp 8053f1a6 53 push ebx 8053f1a7 56 push esi 8053f1a8 57 push edi 8053f1a9 0fa0 push fs 8053f1ab bb30000000 mov ebx,30h 8053f1b0 668ee3 mov fs,bx 8053f1b3 648b1d00000000 mov ebx,dword ptr fs:[0] 8053f1ba 53 push ebx 因该是操作系统把fs置成30h的！ 更要命的是我们还没法手工改变FS（改回去又被改回来），这样如果在iret的时候FS还是30h，那么iret之后返回到ring3，FS将被CPU置0(因为30h这个选择子是ring0的)，导致后面的函数执行出错（没法注册异常了），而且程序被无声无息的终止！！我在VMWare上测试的，大家看看有没有这个BUG…… 调试 rootkit ring3进ring0之门系列[二] -- 中断门 就可以说明这个问题 IP 地址: 已记录   报告

2008-12-08, 12:40 下午 格蠹老雷 注册: 2005-12-19 发 贴: 1,303 Re: WinDBG的bug 不认为WinDBG会做这样的改动，你可以用另一个WinDBG做跟踪或者Ctrl+Alt+D观察WinDBG和KD之间的通信来确认。 IP 地址: 已记录   报告

2008-12-08, 14:37 下午 井底之蛙 注册: 2008-12-03 发 贴: 15 Re: WinDBG的bug bp ntKiTrap00 中断后看到fs=30,肯定有问题…… 而且fs寄存器改不掉 请看：http://www.debugman.com/read.php?tid=2477 IP 地址: 已记录   报告

高端调试 » 软件调试 » Windows内核调试 » WinDBG的bug

请选择 论坛首页 |- 论坛搜索 |- 热门主题 |- 未回复的主题 用户选项 |- 登录 |- 注册 |- 找回密码 软件调试 |- Windows内核调试 |- C/C++本地代码调试 |- .Net程序调试 |- 脚本程序调试 |- Java程序调试 |- Linux内核调试 |- 《程序员》杂志调试专栏 |- WinDbg |- GDB |- 远程调试 |- 调试ACPI和BIOS |- 特殊的调试任务 |- 转储分析 |- GDK7 内核探秘 |- Windows内核 |- Linux内核 系统架构 |- CPU架构 |- PCI/PCI Express架构 程序人生 |- 软件物语 |- 社区活动 |- 名人逸事 联盟论坛 |- 欢迎使用CnForums 没有银弹 |- BUG也精彩 |- 豆腐工程 |- 软件圈里十大怪 Windows Vista |- 用调试利剑剖析VISTA内幕 |- 老专家如何破解新问题 |- 我的电脑谁说了算？ |- 资源 Office开发 |- Visio 驱动程序开发 |- Windows驱动开发 |- Linux驱动开发 |- Windows CE驱动开发 用户态开发 |- Windows本地代码（native）高级开发 |- Web应用开发 |- WinFX和.Net |- Office开发 本站建设 |- 高端调试团队 |- 版面布局 |- 活动建议 |- 网站维护 64位计算 |- 64-bit Windows |- 64-bit CPU 图书 |- 《软件调试》的示例程序 |- 《软件调试》的工具 |- 《软件调试》书友 |- 《软件调试》答疑 |- 《软件调试》勘误和意见 |- 《格蠹汇编》 |- 《软件调试》第二版卷1 |- 《软件调试》第二版卷2 云计算 |- IaaS |- 云存储 |- 大数据 |- PaaS和SaaS GPU |- CUDA |- OpenCL |- HSA |- 游戏开发与调试