Advanced Debugging
About AdvDbg Consult Train Services Products Tools Community Contact  
欢迎光临 高端调试 登录 | 注册 | FAQ
 
  ACPI调试
Linux内核调试
Windows内核调试
 
  调试战役
调试原理
新工具观察
 
  Linux
Windows Vista
Windows
 
  Linux驱动
WDF
WDM
 
  PCI Express
PCI/PCI-X
USB
无线通信协议
 
  64位CPU
ARM
IA-32
  CPU Info Center
 
  ACPI标准
系统认证
Desktop
服务器
 
  Embedded Linux
嵌入式开发工具
VxWorks
WinCE
嵌入式Windows
 
  格蠹调试套件(GDK)
  格蠹学院
  小朱书店
  老雷的微博
  《软件调试》
  《格蠹汇编》
  《软件调试(第二版)》
沪ICP备11027180号-1

Windows内核调试

帖子发起人: zyq8709   发起时间: 2016-02-29 19:41 下午   回复: 4

Print Search
帖子排序:    
   2016-02-29, 19:41 下午
zyq8709 离线,最后访问时间: 2019/8/6 21:05:02 zyq8709

发帖数前10位
注册: 2011-04-19
发 贴: 74
Confused [8-)] 内核写用户空间内存引发写时复制与内核态调试会话写用户空间内存的区别?
Reply Quote
内核态的调试会话是不会引发cow的,但是我注意到cr0的wp是1,我的理解是,即使对于内核,它也无法直接去写read-only的页面,包括cow属性的页面(本质上还是read-only属性),一旦进行写操作,就会引发page fault,然后根据页面属性进行不同的处理。令我产生疑惑的是,为何内核态的调试会话可以直接写入所有的页面包括read-only页面,也不会引发page fault?是它修改了wp标志吗?
IP 地址: 已记录   报告
   2016-03-04, 19:58 下午
Raymond 离线,最后访问时间: 2020/7/3 3:40:25 格蠹老雷

发帖数前10位
注册: 2005-12-19
发 贴: 1,303
Re: 内核写用户空间内存引发写时复制与内核态调试会话写用户空间内存的区别?
Reply Quote
没有仔细观察过写cow页的情况,两点信息供参考:
1)内核调试是有一套专用的页表的,比如访问物理内存时,就是用这套页表映射
2)Page fault是可以关闭的

IP 地址: 已记录   报告
   2016-03-09, 18:04 下午
zyq8709 离线,最后访问时间: 2019/8/6 21:05:02 zyq8709

发帖数前10位
注册: 2011-04-19
发 贴: 74
Smile [:)] Re: 内核写用户空间内存引发写时复制与内核态调试会话写用户空间内存的区别?
Reply Quote
好的,谢谢张老师,我再研究一下。:)
IP 地址: 已记录   报告
   2016-05-08, 17:14 下午
zyq8709 离线,最后访问时间: 2019/8/6 21:05:02 zyq8709

发帖数前10位
注册: 2011-04-19
发 贴: 74
Re: 内核写用户空间内存引发写时复制与内核态调试会话写用户空间内存的区别?
Reply Quote
再次叨扰张老师了:)

关于内核调试子系统的专用页表我观察了一下,应该是没有设置在cr3寄存器中的吧,只是用于解释虚拟地址的(相当于由调试子系统模拟物理地址转换的过程吧)。对于.process指令切换上下文的原理不是很清楚,希望张老师给点提示。
另外在内核态调试中确实发现缺页异常不会生效。例如在调试MmLoadSystemImage时,能够发现刚刚map后的地址在windbg中还是无效的,除非由内核的代码访问过之后触发了缺页异常才能在windbg中显示出来。很好奇在内核调试系统中是如何禁用了缺页异常的,是由x86硬件支持的吗?
关于windows内核调试支持实现的一些细节和机理不知张老师可不可以推荐一些资料,以前关注的不多,还要加强学习呀。:)

IP 地址: 已记录   报告
   2016-05-09, 09:00 上午
linkerrors 离线,最后访问时间: 2018/11/19 13:12:31 风继续吹

发帖数前50位
注册: 2014-09-27
发 贴: 23
Re: 内核写用户空间内存引发写时复制与内核态调试会话写用户空间内存的区别?
Reply Quote
请教一个问题,在内核调试时,类似!dd命令这类可以直接访问物理地址是怎么做到的? 我是调试新手,多多指教。
IP 地址: 已记录   报告
高端调试 » 软件调试 » Windows内核调试 » 内核写用户空间内存引发写时复制与内核态调试会话写用户空间内存的区别?

 
Legal Notice Privacy Statement Corporate Governance Corporate Governance
(C)2004-2020 ADVDBG.ORG All Rights Reserved.