-
-
[求助]求教关于tp更新后双机调试问题
-
发表于: 2012-10-20 09:45
-
论坛帖子中几乎所有过tp双机调试的方法都已失效
修改KdDisableDebugger头部被检测，je jne跳转重启，恢复KdSendPacket、KdReceivePacket 会重启
使用VirtualKD还是无效，hidekd只在tp第一次加载就停下了
这个问题困扰我好几天了
，请教各位大大这个双机调试到底要怎么才能过？ 我不是伸手党，我只需要一个指导方向就可以了，我可以自己去研究的，在此先谢谢了
修改KdDisableDebugger头部被检测，je jne跳转重启，恢复KdSendPacket、KdReceivePacket 会重启
使用VirtualKD还是无效，hidekd只在tp第一次加载就停下了
这个问题困扰我好几天了
，请教各位大大这个双机调试到底要怎么才能过？ 我不是伸手党，我只需要一个指导方向就可以了，我可以自己去研究的，在此先谢谢了 [注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
再次感谢
DbgkpSetProcessDebugObject DbgkpQueueMessage NtGetContextThread NtSetContextThread 之前只以为这几个函数和od调试有关，没想到和双机也有关系 其实我想过双机调试就是为了找DebugPort的位置的，关键是断不下来，真不知道有没有其他的办法找DebugPort的位置？ |
|
|
|
|
|
|
|
|
|
|
|
 楼上强大暴力!
|
|
|
|
|
|
我按照这篇帖子 http://bbs.pediy.com/showthread.php?t=148815 改掉以下函数DebugPort函数的位置，绕HOOK是用的重加载内核，不想去修改TP代码，为什么附加后看不到代码呢，ALT+C能显示代码了，但是也看不到模块
而且加载了双内核，OD附加的时候还是会去调用旧内核的dbg相关函数，只有把新旧内核访问DebugPort的地方都改掉，下断点才有用，求高人答疑 看不到模块，也不能bp API这样下断ULONG KiDispatchException; //1处 ULONG NtQueryInformationProcess; //1处 ULONG PspCreateProcess; //1处 ULONG PsGetProcessDebugPort; //1处 ULONG PsIsProcessBeingDebugged; //1处 ULONG NtTerminateProcess; //1处 ULONG PspTerminateProcess; //1处 ULONG PspExitThread; //1处 ULONG PspProcessDelete; //3处 ULONG ObpCloseHandleTableEntry; //1处 ULONG ObpCloseHandle; //1处 ULONG MmCreatePeb; //1处 ULONG DbgkCreateThread; //1处 ULONG DbgkExitThread; //1处 ULONG DbgkExitProcess; //1处 ULONG DbgkMapViewOfSection; //1处 ULONG DbgkUnMapViewOfSection; //1处 ULONG DbgkpMarkProcessPeb; //1处 ULONG DbgkpCloseObject; //3处 ULONG DbgkCopyProcessDebugPort[3]; //4处 ULONG DbgkOpenProcessDebugPort; //2处 ULONG DbgkpQueueMessage; //1处 ULONG DbgkClearProcessDebugObject; //2处 ULONG DbgkpSetProcessDebugObject[5]; //5处 ULONG DbgkForwardException; //1处 |
|
|
|
|
|
|
|
|
感谢回复
我来晚了，帖子好像已经被删掉了 
|
|
|
|
|
|
|
|
|
你说的是VT技术吧
|
|
|
|
|
|
|
