内核写用户空间内存引发写时复制与内核态调试会话写用户空间内存的区别？
Windows内核调试
内核写用户空间内存引发写时复制与内核态调试会话写用户空间内存的区别？
zyq8709
2016-02-29, 19:41 下午
内核态的调试会话是不会引发cow的，但是我注意到cr0的wp是1，我的理解是，即使对于内核，它也无法直接去写read-only的页面，包括cow属性的页面（本质上还是read-only属性），一旦进行写操作，就会引发page fault，然后根据页面属性进行不同的处理。令我产生疑惑的是，为何内核态的调试会话可以直接写入所有的页面包括read-only页面，也不会引发page fault？是它修改了wp标志吗？
Re: 内核写用户空间内存引发写时复制与内核态调试会话写用户空间内存的区别？
格蠹老雷
2016-03-04, 19:58 下午
没有仔细观察过写cow页的情况，两点信息供参考：
1）内核调试是有一套专用的页表的，比如访问物理内存时，就是用这套页表映射
2）Page fault是可以关闭的
Re: 内核写用户空间内存引发写时复制与内核态调试会话写用户空间内存的区别？
zyq8709
2016-03-09, 18:04 下午
好的，谢谢张老师，我再研究一下。:)
Re: 内核写用户空间内存引发写时复制与内核态调试会话写用户空间内存的区别？
zyq8709
2016-05-08, 17:14 下午
再次叨扰张老师了:)
关于内核调试子系统的专用页表我观察了一下，应该是没有设置在cr3寄存器中的吧，只是用于解释虚拟地址的（相当于由调试子系统模拟物理地址转换的过程吧）。对于.process指令切换上下文的原理不是很清楚，希望张老师给点提示。
另外在内核态调试中确实发现缺页异常不会生效。例如在调试MmLoadSystemImage时，能够发现刚刚map后的地址在windbg中还是无效的，除非由内核的代码访问过之后触发了缺页异常才能在windbg中显示出来。很好奇在内核调试系统中是如何禁用了缺页异常的，是由x86硬件支持的吗？
关于windows内核调试支持实现的一些细节和机理不知张老师可不可以推荐一些资料，以前关注的不多，还要加强学习呀。:)
Re: 内核写用户空间内存引发写时复制与内核态调试会话写用户空间内存的区别？
风继续吹
2016-05-09, 09:00 上午
请教一个问题，在内核调试时，类似!dd命令这类可以直接访问物理地址是怎么做到的？ 我是调试新手，多多指教。