搜索论坛 帖子排序:  Oldest to newest Newest to oldest

2011-07-05, 11:10 上午 saviola 注册: 2011-07-05 发 贴: 6 请教：78页KiTrap03中将程序指针寄存器减1 请教一下那段带有dec ebx的汇编代码，是如何实现EIP减1的？ IP 地址: 已记录   报告

2011-07-05, 11:16 上午 saviola 注册: 2011-07-05 发 贴: 6 Re: 请教：78页KiTrap03中将程序指针寄存器减1 哦，我可能明白了，是把压在栈中的EIP值减了1，return时跳到原执行指令的位置。不知对不对？ IP 地址: 已记录   报告

2011-07-05, 22:13 下午 格蠹老雷 注册: 2005-12-19 发 贴: 1,303 Re: 请教：78页KiTrap03中将程序指针寄存器减1 很好的问题，这个地方将EBX减1后，作为参数传递给CommonDispatchException。后者内部会分配一个EXPCEPTION_RECORD结构，然后将减1后的EIP值放到EXPCEPTION_RECORD的ExceptionAddress字段中，即如下代码： nt!CommonDispatchException: 818537f0 83ec50 sub esp,50h ;; 在栈上分配 EXCEPTION_RECORD 818537f3 890424 mov dword ptr [esp],eax 818537f6 33c0 xor eax,eax 818537f8 89442404 mov dword ptr [esp+4],eax 818537fc 89442408 mov dword ptr [esp+8],eax 81853800 895c240c mov dword ptr [esp+0Ch],ebx ;; ExceptionAddress dt _EXCEPTION_RECORD nt!_EXCEPTION_RECORD +0x000 ExceptionCode : Int4B +0x004 ExceptionFlags : Uint4B +0x008 ExceptionRecord : Ptr32 _EXCEPTION_RECORD +0x00c ExceptionAddress : Ptr32 Void +0x010 NumberParameters : Uint4B +0x014 ExceptionInformation : [15] Uint4B 这样修改后，ExceptionAddress 就指向了断点处本来指令的起始位置，这对于分析异常信息是很重要的。 其实还有一个地方调整EIP，就是在KiDispatchException函数中： 8182f7e9 8b03 mov eax,dword ptr [ebx] ;; ExceptionRecord.ExceptionCode 8182f7eb 3d03000080 cmp eax,80000003h ;; STATUS_BREAKPOINT 8182f7f0 0f84a9000000 je nt!KiDispatchException+0x130 (8182f89f) ... 8182f89f ff8dd0fdffff dec dword ptr [ebp-230h] ;; 将CONTEXT结构中的EIP减1 注意这里是将以局部变量形式存在的CONTEXT结构中的EIP字段减去1，没有直接修改KTRAP_FRAME，这是KiDispatchException函数的总体设计决定的，在这个函数开始会根据KTRAP_FRAME得到CONTEXT结构： 8182f7e4 e8a46e0100 call nt!KeContextFromKframes (8184668d) 在末尾再将CONTEXT结构中的信息复制会KTRAP_FRAME，这样处理后，保存在栈上的KTRAP_FRAME结构中的EIP便也变化了，也指向断点处本来指令的起始地址，此后，再执行iret指令异常返回后，CPU便从KTRAP_FRAME中恢复EIP，重新执行断点处的指令了 IP 地址: 已记录   报告

高端调试 » 图书 » 《软件调试》答疑 » Re: 请教：78页KiTrap03中将程序指针寄存器减1

请选择 论坛首页 |- 论坛搜索 |- 热门主题 |- 未回复的主题 用户选项 |- 登录 |- 注册 |- 找回密码 软件调试 |- Windows内核调试 |- C/C++本地代码调试 |- .Net程序调试 |- 脚本程序调试 |- Java程序调试 |- Linux内核调试 |- 《程序员》杂志调试专栏 |- WinDbg |- GDB |- 远程调试 |- 调试ACPI和BIOS |- 特殊的调试任务 |- 转储分析 |- GDK7 内核探秘 |- Windows内核 |- Linux内核 系统架构 |- CPU架构 |- PCI/PCI Express架构 程序人生 |- 软件物语 |- 社区活动 |- 名人逸事 联盟论坛 |- 欢迎使用CnForums 没有银弹 |- BUG也精彩 |- 豆腐工程 |- 软件圈里十大怪 Windows Vista |- 用调试利剑剖析VISTA内幕 |- 老专家如何破解新问题 |- 我的电脑谁说了算？ |- 资源 Office开发 |- Visio 驱动程序开发 |- Windows驱动开发 |- Linux驱动开发 |- Windows CE驱动开发 用户态开发 |- Windows本地代码（native）高级开发 |- Web应用开发 |- WinFX和.Net |- Office开发 本站建设 |- 高端调试团队 |- 版面布局 |- 活动建议 |- 网站维护 64位计算 |- 64-bit Windows |- 64-bit CPU 图书 |- 《软件调试》的示例程序 |- 《软件调试》的工具 |- 《软件调试》书友 |- 《软件调试》答疑 |- 《软件调试》勘误和意见 |- 《格蠹汇编》 |- 《软件调试》第二版卷1 |- 《软件调试》第二版卷2 云计算 |- IaaS |- 云存储 |- 大数据 |- PaaS和SaaS GPU |- CUDA |- OpenCL |- HSA |- 游戏开发与调试