关于监控KdEnteredDebugger变量蓝屏错误

Windows内核调试

关于监控KdEnteredDebugger变量蓝屏错误

---

irichard 2014-10-23, 23:16 下午
张老师，有个问题想请教下。
我想尝试调试一下KdEnteredDebugger这个变量的引用代码，并在WinDBG中ba r4 KdEnteredDebugger下断，但是一旦G以后，立刻蓝屏！
发现蓝屏的错误是由于在执行KdEnterDebugger()，其中函数里，给KdEnteredDebugger赋值语句造成的。
不知道有没有什么办法避免??

Re: 关于监控KdEnteredDebugger变量蓝屏错误

---

Thomson 2014-10-24, 15:31 下午
蓝屏是报double fault吗？每次系统freeze，break进入kernel debugger都需要修改这个变量，然后你让这个变量上设数据断点，新的异常生成，想进入kernel debugger,然后又需要修改这个变量，这样根本就break不到kernel debugger的。

Re: 关于监控KdEnteredDebugger变量蓝屏错误

---

格蠹老雷 2014-10-25, 09:29 上午
Tom说的对，如果一定要调试这样的情况，需要硬件调试器或者其它调试方案了

Re: 关于监控KdEnteredDebugger变量蓝屏错误

---

irichard 2014-10-25, 14:55 下午

是的，谢谢tom兄，好像没什么办法。

我也试了试，确实是不行，谢谢了！

Re: 关于监控KdEnteredDebugger变量蓝屏错误

---

irichard 2014-10-25, 14:56 下午

Raymond wrote:

Tom说的对，如果一定要调试这样的情况，需要硬件调试器或者其它调试方案了

 

谢谢张老师，确实没什么更好的办法了！

Re: 关于监控KdEnteredDebugger变量蓝屏错误

---

irichard 2014-10-29, 01:13 上午

张老师，还有个问题希望能够请教一下您。

就像您说的，操作系统在每次冻结时，都会重新访问KdEnterDebugger此变量，若是对此变量下断必定产生蓝屏。

那假设现在做一个反调试系统的话，通过检测KdEnterDebugger的值来判断是否开启双机调试的话，岂不是别人破解很难？（除非他去逆向分析我的代码，如果代码量是非常大的情况下，应该如何做？）

 

Re: 关于监控KdEnteredDebugger变量蓝屏错误

---

格蠹老雷 2014-10-29, 09:26 上午
你说的对，是可以这样检查内核调试器是否在工作状态，很准确，也很简单

Re: 关于监控KdEnteredDebugger变量蓝屏错误

---

irichard 2014-10-29, 11:16 上午

Raymond wrote:

你说的对，是可以这样检查内核调试器是否在工作状态，很准确，也很简单

 

那类似于这种机制下的反调试系统，在代码量很大的情况下，有没有什么好办法跟踪到反调试系统的关键代码段（检查此变量地方）？

我经验比较少，还希望您别嫌我唠叨。