搜索论坛 帖子排序:  Oldest to newest Newest to oldest

2011-02-15, 17:30 下午 wrong 注册: 2011-01-07 发 贴: 66 为什么TeminateProcess的断点无法命中。 使用windbg attach一个notepad，然后使用 bp kernel32!terminateprocess，使用bl查看一切OK。 再使用g命令运行notepad，关闭notepad，windbg中显示程序已经关闭，断点没有命中。我在xp上和win7都试过了，感觉这个断点设和没设效果一样，有人碰到过类似的情况嘛？ 0:000> bl 0 e 77e616b8 0001 (0001) 0:**** kernel32!TerminateProcess 0:000> g 关闭notepad直接显示，没有断点命中。 eax=00000000 ebx=00000000 ecx=ffffffff edx=00000000 esi=77f7663e edi=00000000 eip=7ffe0304 esp=0006fdf8 ebp=0006fef0 iopl=0 nv up ei pl nz na pe nc cs=001b ss=0023 ds=0023 es=0023 fs=0038 gs=0000 efl=00000202 SharedUserData!SystemCallStub+0x4: 7ffe0304 c3 ret IP 地址: 已记录   报告

2011-02-15, 18:50 下午 Thomson 注册: 2008-07-03 发 贴: 211 Re: 为什么TeminateProcess的断点无法命中。 那可能不是通过这个API结束的吧. 像下面的stack,就没有通过kernel32!TerminateProcess ntdll!ZwTerminateProcess ntdll!RtlExitUserProcess msvcrt!doexit notepad!__mainCRTStartup kernel32!BaseThreadInitThunk ntdll!RtlUserThreadStart IP 地址: 已记录   报告

2011-02-15, 21:08 下午 wrong 注册: 2011-01-07 发 贴: 66 Re: 为什么TeminateProcess的断点无法命中。 贴一下我的call stack, xp下面的。 0:000> bl 0 e 77e616b8 0001 (0001) 0:**** kernel32!TerminateProcess 0:000> g eax=00000000 ebx=00000000 ecx=ffffffff edx=00000000 esi=77f7663e edi=00000000 eip=7ffe0304 esp=0006fdf8 ebp=0006fef0 iopl=0 nv up ei pl nz na pe nc cs=001b ss=0023 ds=0023 es=0023 fs=0038 gs=0000 efl=00000202 SharedUserData!SystemCallStub+0x4: 7ffe0304 c3 ret 0:000> kv ChildEBP RetAddr Args to Child 0006fdf4 77f7664a 77e798ec ffffffff 00000000 SharedUserData!SystemCallStub+0x4 (FPO: [0,0,0]) 0006fdf8 77e798ec ffffffff 00000000 77e7ad86 ntdll!NtTerminateProcess+0xc (FPO: [2,0,0]) 0006fef0 77e7990f 00000000 77e8f3b0 ffffffff kernel32!_ExitProcess+0x57 (FPO: [Non-Fpo]) 0006ff04 77c379c8 00000000 77c37ad9 00000000 kernel32!TerminateProcess (FPO: [Non-Fpo]) 0006ff0c 77c37ad9 00000000 00000000 77c37aea msvcrt!__crtExitProcess+0x2f (FPO: [1,0,0]) 0006ff18 77c37aea 00000000 00000000 00000000 msvcrt!_cinit+0xe4 (FPO: [2,0,1]) 0006ff28 01006c65 00000000 70a71a29 80000002 msvcrt!exit+0xe (FPO: [1,0,1]) 0006ffc0 77e814c7 70a71a29 80000002 7ffdf000 notepad!WinMainCRTStartup+0x185 (FPO: [Non-Fpo]) 0006fff0 00000000 01006ae0 00000000 78746341 kernel32!BaseProcessStart+0x23 (FPO: [Non-Fpo]) 能看到xp下面确实有TeminateProcess的，但是没有断进去。 win7下确实没有。 000ffc40 77775b7c 777937f6 ffffffff 00000000 ntdll!KiFastSystemCallRet (FPO: [0,0,0]) 000ffc44 777937f6 ffffffff 00000000 00490e78 ntdll!ZwTerminateProcess+0xc (FPO: [2,0,0]) 000ffc60 770e2b03 00000000 77e8f3b0 ffffffff ntdll!RtlExitUserProcess+0x85 (FPO: [Non-Fpo]) 000ffc74 769836dc 00000000 000ffcb8 76983372 kernel32!ExitProcessStub+0x12 (FPO: [1,0,0]) 000ffc80 76983371 00000000 652b2df1 001fc25c msvcrt!__crtExitProcess+0x17 (FPO: [Non-Fpo]) 000ffcb8 769836bb 00000000 00000000 00000000 msvcrt!_cinit+0xea (FPO: [Non-Fpo]) 000ffccc 001f1705 00000000 6524911d 00000000 msvcrt!exit+0x11 (FPO: [Non-Fpo]) 000ffd50 770e1194 7ffdf000 000ffd9c 7778b429 notepad!_initterm_e+0x1b6 (FPO: [Non-Fpo]) 000ffd5c 7778b429 7ffdf000 778276ee 00000000 kernel32!BaseThreadInitThunk+0xe (FPO: [Non-Fpo]) 000ffd9c 7778b3fc 001f3689 7ffdf000 00000000 ntdll!__RtlUserThreadStart+0x70 (FPO: [Non-Fpo]) 000ffdb4 00000000 001f3689 7ffdf000 00000000 ntdll!_RtlUserThreadStart+0x1b (FPO: [Non-Fpo]) IP 地址: 已记录   报告

2011-02-15, 21:40 下午 wrong 注册: 2011-01-07 发 贴: 66 Re: 为什么TeminateProcess的断点无法命中。 仔细看下XP的call stack，有个很奇怪的地方， 0006ff04 77c379c8 00000000 77c37ad9 00000000 kernel32!TerminateProcess (FPO: [Non-Fpo]) 是kernel32!TerminateProcess，而不是kernel32!TerminateProcess+0x??，在什么样的情况下会这样？至少应该有个函数序言啊。 尝试uf一下，还好代码不长，不过引入更多的问题。 0:000> uf kernel32!terminateprocess kernel32!TerminateProcess: 77e616b8 837c240400 cmp dword ptr [esp+0x4],0x0 77e616bd 7418 jz kernel32!TerminateProcess+0x7 (77e616d7) kernel32!TerminateProcess+0x10: 77e616bf ff742408 push dword ptr [esp+0x8] 77e616c3 ff742408 push dword ptr [esp+0x8] 77e616c7 ff15f813e677 call dword ptr [kernel32!_imp__NtTerminateProcess (77e613f8)] 77e616cd 85c0 test eax,eax 77e616cf 7c0f jl kernel32!TerminateProcess+0x27 (77e616e0) kernel32!TerminateProcess+0x22: 77e616d1 33c0 xor eax,eax 77e616d3 40 inc eax kernel32!TerminateProcess+0x2f: 77e616d4 c20800 ret 0x8 kernel32!TerminateProcess+0x7: 77e616d7 6a06 push 0x6 77e616d9 e8d28c0100 call kernel32!SetLastError (77e7a3b0) 77e616de eb06 jmp kernel32!TerminateProcess+0x2d (77e616e6) kernel32!TerminateProcess+0x27: 77e616e0 50 push eax 77e616e1 e8808d0100 call kernel32!BaseSetLastNTError (77e7a466) kernel32!TerminateProcess+0x2d: 77e616e6 33c0 xor eax,eax 77e616e8 ebea jmp kernel32!TerminateProcess+0x2f (77e616d4) 能够看到+7的地方竟然在+10,+22的后面，不知道是怎么回事。 而且kernel32!_ExitProcess的返回地址77e7990f 不在上述uf的范围之内。这中间发生了什么？ IP 地址: 已记录   报告

2011-02-16, 13:17 下午 Thomson 注册: 2008-07-03 发 贴: 211 Re: 为什么TeminateProcess的断点无法命中。 我觉得, 在xp里面,你上面的Stack里面,实际是通过ExitProcess调用_ExitProcess去结束进程的,而kernel32!TerminateProcess刚好放在了ExitProcess(Call _ExitProcess是该方法最后一条指令)后面,这样在parse stack的时候,会以为kernel32!TerminateProcess在Stack上,其实它不会被执行. 这样也能解释为什么stack上的kernel32!TerminateProcess的offset是0. ExitProcess(ULONG StatusCode) { ... __asm call _ExitProcess } BOOL TerminateProcess(...) { ... } IP 地址: 已记录   报告

2011-02-16, 14:27 下午 wrong 注册: 2011-01-07 发 贴: 66 Re: 为什么TeminateProcess的断点无法命中。 解决了，详情可见http://user.qzone.qq.com/31731705/blog/1297832731，不知道是我的机器的问题，还是普遍的现象。 哈，没注意到上面有人回了，理论上差不多，实际上有区别的。 IP 地址: 已记录   报告

高端调试 » 软件调试 » Windows内核调试 » Re: 为什么TeminateProcess的断点无法命中。

请选择 论坛首页 |- 论坛搜索 |- 热门主题 |- 未回复的主题 用户选项 |- 登录 |- 注册 |- 找回密码 软件调试 |- Windows内核调试 |- C/C++本地代码调试 |- .Net程序调试 |- 脚本程序调试 |- Java程序调试 |- Linux内核调试 |- 《程序员》杂志调试专栏 |- WinDbg |- GDB |- 远程调试 |- 调试ACPI和BIOS |- 特殊的调试任务 |- 转储分析 |- GDK7 内核探秘 |- Windows内核 |- Linux内核 系统架构 |- CPU架构 |- PCI/PCI Express架构 程序人生 |- 软件物语 |- 社区活动 |- 名人逸事 联盟论坛 |- 欢迎使用CnForums 没有银弹 |- BUG也精彩 |- 豆腐工程 |- 软件圈里十大怪 Windows Vista |- 用调试利剑剖析VISTA内幕 |- 老专家如何破解新问题 |- 我的电脑谁说了算？ |- 资源 Office开发 |- Visio 驱动程序开发 |- Windows驱动开发 |- Linux驱动开发 |- Windows CE驱动开发 用户态开发 |- Windows本地代码（native）高级开发 |- Web应用开发 |- WinFX和.Net |- Office开发 本站建设 |- 高端调试团队 |- 版面布局 |- 活动建议 |- 网站维护 64位计算 |- 64-bit Windows |- 64-bit CPU 图书 |- 《软件调试》的示例程序 |- 《软件调试》的工具 |- 《软件调试》书友 |- 《软件调试》答疑 |- 《软件调试》勘误和意见 |- 《格蠹汇编》 |- 《软件调试》第二版卷1 |- 《软件调试》第二版卷2 云计算 |- IaaS |- 云存储 |- 大数据 |- PaaS和SaaS GPU |- CUDA |- OpenCL |- HSA |- 游戏开发与调试