搜索论坛 帖子排序:  Oldest to newest Newest to oldest

2009-11-06, 00:44 上午 robslove 注册: 2009-11-01 发 贴: 1 关于 DbgkpSendApiMessage函数的讨论 最近发现一个内核anti调试器的东东 现象是在R3调用DebugActiveProcess无法正常返回，长时间卡死 如果以CreateProcess加载则会在WaitForDebugEvent卡住 因为anti双机内核调试,只能自己写代码拦截流程 发现以CreateProcess方式启动后在内核已经执行到 DbgkpSendApiMessage，再往下已通知调试子系统 调试子系统一节好像也只介绍到这一步 想问下什么情况下会导致上面的情况没有响应呢？ 另外写代码的时候发现个有趣的东东 书201页DbgkpSendApiMessage的函数声明参数是3个 在我的XP sp2的系统里却只有2个 很是花了大半天的时间.... lkd> u DbgkpSendApiMessage nt!DbgkpSendApiMessage: 8063919a 8bff            mov     edi,edi 8063919c 55              push    ebp 8063919d 8bec            mov     ebp,esp 8063919f 53              push    ebx 806391a0 33db            xor     ebx,ebx 806391a2 385d0c          cmp     byte ptr [ebp+0Ch],bl 806391a5 56              push    esi 806391a6 7408            je      nt!DbgkpSendApiMessage+0x16 (806391b0) lkd> uf DbgkpSendApiMessage nt!DbgkpSendApiMessage: 8063919a 8bff            mov     edi,edi 8063919c 55              push    ebp 8063919d 8bec            mov     ebp,esp 8063919f 53              push    ebx 806391a0 33db            xor     ebx,ebx 806391a2 385d0c          cmp     byte ptr [ebp+0Ch],bl 806391a5 56              push    esi 806391a6 7408            je      nt!DbgkpSendApiMessage+0x16 (806391b0) nt!DbgkpSendApiMessage+0xe: 806391a8 e88b010000      call    nt!DbgkpSuspendProcess (80639338) 806391ad 88450c          mov     byte ptr [ebp+0Ch],al nt!DbgkpSendApiMessage+0x16: 806391b0 8b5508          mov     edx,dword ptr [ebp+8] 806391b3 c7421c03010000  mov     dword ptr [edx+1Ch],103h 806391ba 64a124010000    mov     eax,dword ptr fs:[00000124h] 806391c0 8b4844          mov     ecx,dword ptr [eax+44h] 806391c3 33c0            xor     eax,eax 806391c5 40              inc     eax 806391c6 8db148020000    lea     esi,[ecx+248h] 806391cc f00906          lock or dword ptr [esi],eax 806391cf 64a124010000    mov     eax,dword ptr fs:[00000124h] 806391d5 53              push    ebx 806391d6 53              push    ebx 806391d7 52              push    edx 806391d8 50              push    eax 806391d9 51              push    ecx 806391da e8afedffff      call    nt!DbgkpQueueMessage (80637f8e) 806391df 53              push    ebx 806391e0 53              push    ebx 806391e1 6aff            push    0FFFFFFFFh 806391e3 8bf0            mov     esi,eax 806391e5 e89651ecff      call    nt!ZwFlushInstructionCache (804fe380) 806391ea 385d0c          cmp     byte ptr [ebp+0Ch],bl 806391ed 7405            je      nt!DbgkpSendApiMessage+0x5a (806391f4) nt!DbgkpSendApiMessage+0x55: 806391ef e866010000      call    nt!DbgkpResumeProcess (8063935a) nt!DbgkpSendApiMessage+0x5a: 806391f4 8bc6            mov     eax,esi 806391f6 5e              pop     esi 806391f7 5b              pop     ebx 806391f8 5d              pop     ebp 806391f9 c20800          ret     8   IP 地址: 已记录   报告

2009-11-06, 19:39 下午 格蠹老雷 注册: 2005-12-19 发 贴: 1,303 Re: 关于 DbgkpSendApiMessage函数的讨论 搞破坏比建设容易的多，要看具体情况了，如果真想搞个水落石出，建议用内核调试跟踪一下。 这个函数在XP之前是三个参数，XP起改为两个参数了，其实是加了一个新函数，用原来的名字，老的函数改名为DbgkpSendApiMessageLpc，反汇编一下还可看到。 IP 地址: 已记录   报告

高端调试 » 图书 » 《软件调试》的示例程序 » Re: 关于 DbgkpSendApiMessage函数的讨论

请选择 论坛首页 |- 论坛搜索 |- 热门主题 |- 未回复的主题 用户选项 |- 登录 |- 注册 |- 找回密码 软件调试 |- Windows内核调试 |- C/C++本地代码调试 |- .Net程序调试 |- 脚本程序调试 |- Java程序调试 |- Linux内核调试 |- 《程序员》杂志调试专栏 |- WinDbg |- GDB |- 远程调试 |- 调试ACPI和BIOS |- 特殊的调试任务 |- 转储分析 |- GDK7 内核探秘 |- Windows内核 |- Linux内核 系统架构 |- CPU架构 |- PCI/PCI Express架构 程序人生 |- 软件物语 |- 社区活动 |- 名人逸事 联盟论坛 |- 欢迎使用CnForums 没有银弹 |- BUG也精彩 |- 豆腐工程 |- 软件圈里十大怪 Windows Vista |- 用调试利剑剖析VISTA内幕 |- 老专家如何破解新问题 |- 我的电脑谁说了算？ |- 资源 Office开发 |- Visio 驱动程序开发 |- Windows驱动开发 |- Linux驱动开发 |- Windows CE驱动开发 用户态开发 |- Windows本地代码（native）高级开发 |- Web应用开发 |- WinFX和.Net |- Office开发 本站建设 |- 高端调试团队 |- 版面布局 |- 活动建议 |- 网站维护 64位计算 |- 64-bit Windows |- 64-bit CPU 图书 |- 《软件调试》的示例程序 |- 《软件调试》的工具 |- 《软件调试》书友 |- 《软件调试》答疑 |- 《软件调试》勘误和意见 |- 《格蠹汇编》 |- 《软件调试》第二版卷1 |- 《软件调试》第二版卷2 云计算 |- IaaS |- 云存储 |- 大数据 |- PaaS和SaaS GPU |- CUDA |- OpenCL |- HSA |- 游戏开发与调试