typedef struct _DEBUG_OBJECT {KEVENT EventsPresent;//+00用于指示有調試事件發生FAST_MUTEX Mutex;//+10用于同步互斥體LIST_ENTRY EventList;//+30保存調試消息的鏈表union//標志 調試消息是否以讀取{ULONG Flags;struct{UCHAR DebuggerInactive:1;UCHAR KillProcessOnExit:1;};}; } DEBUG_OBJECT, *PDEBUG_OBJECT;

EventList是一個鏈表，每一個節點都是一個調試事件，當“被調試進程”產生調試事件會存到EventList的節點中。

調試器就是從EventList的節點里取出調試事件來進行處理。

調試事件是有種類的，被調試進程只有調試事件才會被寫入EventList的節點中，那些打印了某某字符，申請一塊內存是不會記錄的。

調試事件的種類

typedef enum _DBGKM_APINUMBER { DbgkmExceptionApi = 0, // 異常 DbgkmCreateThreadApi = 1, // 創建線程 DbgkmCreateProcessApi = 2, // 創建進程 DbgkmExitThreadApi = 3, // 退出線程 DbgkmExitProcessApi = 4, // 進程退出 DbgkmLoadDllApi = 5, // 加載DLL DbgkmUnloadDllApi = 6, // 卸載DLL DbgkmErrorReportApi = 7, //內部錯誤（已經不用了） DbgkmMaxApiNumber = 8, // 這組常量的最大值 } DBGKM_APINUMBER;

假如說我們觸發了異常，誰來替我們生成這個調試事件？

調試事件采集函數

<1> 創建進程、線程必經之路:

PspUserThreadStartupDbgkCreateThreadDbgkpSendApiMessage(x, x)

<2>退出線程、進程必經之路:

PspExitThreadDbgkExitThread || DbgkExitProcessDbgkpSendApiMessage(x,x)

<3>加載模塊的必經之路:

NtMapViewOfSectionDbgkMapViewOfSectionDbgkpSendApiMessage(x x)

<4>卸載模塊的必經之路:

NtUnMapViewOfSectionDbgkUnMapViewOfSectionDbgkpSendApiMessage(x,x)

<5>異常的必經之路：

KiDispatchExceptionDbgkFonwardExceptionDbgkpSendApiMessage(x. x)

它們都有一個共同的特點從第二部開始的API都是Dbgk開頭的，這種就稱為調試事件的采集函數。

PspUserThreadStartup創建線程，事件采集必須要知道這些事件，如果不知道就生成不了調試事件，系統已經在你的創建線程必經之路上加了一個調用，只要你創建線程就會被收集到事件。

下面來IDA看看PspUserThreadStartup

到這調用了DbgkCreateThread

如果你是這個進程中的第一條線程（main線程），它會生成一個調試事件類型是 DbgkmCreateProcessApi = 2 // 創建進程 ，如果它發現你不是這個進程的第一個線程它也會生成一個調試事件類型是 DbgkmCreateThreadApi = 1 // 創建線程 。

退出進程實際就是退出線程，只不過你退出的線程是這個進程中的最后一個。無論是退出進程還是退出線程最終執行的都是這個函數PspExitThread(x)。

所有Dbgk…函數都會先判斷DebugPort是否為0。

如果不是不main線程就記錄創建線程的調試事件。

封裝好調試事件結構體后，DbgkpSendApiMessage(x x)將它插入LIST_ENTRY EventList的鏈中。

往DbgkExitThread上掛鉤子意味著創建線程調試事件不會再被記錄，調試器就接收不到了。

DbgkpSendApiMessage里調用了這個函數

取出調試端口的地址。

添加到鏈表后，DEBUG_OBJECT.EventsPresent將會修改狀態，然后調試器就會從EventList中取出來。

FAST_MUTEX Mutex;//+10用于同步互斥體
調試器從鏈表里取出調試事件會改它的數據，DbgkpSendApiMessage往鏈表寫數據也會改，所有需要Mutex來互斥一下。

ULONG Flags;
用于標識這個事件調試器有沒有讀取。

IDA中 View -> Open subvi -> cross references

所有的收集調試信息都能看到了

DbgkpSendApiMessage(x, x)參數說明

• 參數1：消息結構每種消息都有自己的消息結構共有7種類型.
• 參數2：要不要把本進程內除了自己之外的其他線程掛起,有些消息需要把其他線程掛起,比如CC有些消息不需要把線程掛起,比如模塊加載

DbgkSendApiMessage 是調試事件收集的總入口，如果在這里掛鉤子,調試器將無法調試

總結

以上是生活随笔為你收集整理的2.调试事件的采集的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。