一.调试API的使用

1.创建调试关系

既然是调试，那么必然存在调试进程和被调试进程。调试进程和被调试进程的关系可以通过函数CreateProcess来定义，该函数定义如下：

其中第六个参数dwCreationFlags的取值有两个重要的常量，分别为DEBUG_PROCESS和DEBUG_ONLY_THIS_PROCESS。DEBUG_PROCESS的作用是被创建的进程处于调试状态。如果一同指定DEBUG_ONLY_THIS_PROCESS的话，那么就只能调试被创建的进程，而不能调试被调试进程创建出来的进程。

另一种创建调试关系的方法是DebugActiveProcess函数，该函数定义如下：

这个函数的功能是将调试进程附加到被调试进程上。该函数的参数只有一个，该参数指定了被调试进程的进程PID。从函数名和参数可以看出，该函数是和一个已经被创建的进程来建立调试关系的。

想要让已建立关系的两个进程断开调试关系，可以使用如下的API：

该函数只有一个参数，就是被调试进程的ID号。使用该函数可以在不影响调试器进程和被调试进程的正常运行的情况下，将两者的关系接触。但是有一个前提，被调试进程需要处于运行状态，而不是中断状态。如果被调试进程处于中断状态时和调试进程解除调试关系，由于被调试进程无法运行而导致退出。

2.判断进程是否处于调试状态

以下函数用来判断进程是否处于调试状态：

如果处于调试状态，该函数返回非0值，否则返回0。

3.断点异常函数

可以通过如下函数来在当前进程中产生一个"int 3"断点异常，如果当前进程未处于调试状态，那么这个异常就会被系统接管，通常情况下会导致进程终止。

以下函数可以在指定进程中产生一个断点异常：

参数是要产生断点异常的进程句柄。

以下函数将使调试进程强制退出，将控制权转移至调试器。于ExitProcess不同的是，该函数在退出前会调试一个int 3断点：

参数是进程退出码。

4.调试循环

调试器不断地对被调试目标进程进行捕获异常调试信息，有点类似于Win32应用程序地消息循环，但是又有所不同。调试器在捕获到调试信息后进行相应的处于，然后恢复线程，使之继续运行。

用来等待捕获被调试进程调试事件的函数如下：

调试器捕获到调试事件后，会对被调试的目标进程中产生调试事件的线程进行挂起。调试器对被调试目标进程进行相应的处理后，可以使用以下函数对先前被挂起的线程进行恢复：

另外还有一个比较常用的函数如下：

该函数可以将一个字符串传递给调试器显示，参数指向的就是要显示的以"00"作为结尾的字符串的指针。

二.调试对象

当调试器与调试子系统建立连接时，调试子系统会为其创建一个DEBUG_OBJECT调试对象，并将其保存在调试器当前线程的线程环境块（TEB）偏移0x0F24的DbgSsReserved[1]字段中。该字段中保存的调试对象是这个调试器线程区别于其他普通线程的重要标志。由于TEB是用户层的数据结构，所以此时DbgSsReserved[1]中保存的其实是调试对象的句柄，而不是调试对象的地址。

调试对象通常由调试器进程创建，为了起到联系被调试进程和调试进程的作用，还需要将其设置到被调试进程EPROCESS结构的DebugPort字段中。DebugPort是内核进程对象结构的一个有关调试的重要字段。如果一个进程不在调试状态，那么该字段为NULL，否则，该字段是一个指针，指向的就是DEBUG_OBJECT调试对象。

调试对象的结构如下：

接下来通过查看DebugActiveProcess函数的实现来验证上述内容。该函数的调用非常简单，只需要将被调试进程的PID传递给函数，系统便会为调用这个API的进程与传入的参数PID指定的进程建立起调试关系。

函数一开始，会调用DbgUiConnectToDbg使调用进程与调试子系统建立连接

DbgUiConnectToDbg是ntdll.dll中的函数，该函数首先就判断TEB结构的DbgSsReserved[1]中是否已保存了调试对象句柄，如果保存了就会退出函数

如果没保存就会通过调用内核函数ZwCreateDebugObject来创建调试对象，此时第一个参数指向的就是TEB的DbgSsRevered[1]，当函数成功创建调试对象以后，就会将句柄赋值到参数所指的地址中，然后退出函数

在内核函数ZwCreateObject中，首先会传入第一个参数是否可写以及Flags字段进行验证

如果验证通过，调用ObCreateObject来创建一个DbgkDebugObjectType的调试对象

如果成功创建调试对象，就会为创建的调试对象赋值

赋值完成以后，调用ObInsertObject将调试对象插入到句柄表中

最后将得到的句柄赋值到第一个参数指向的用户层地址，也就是TEB的DbgSsReserved[1]，然后退出函数

也就是说，DbgUiConnectToDbg实质上就是创建了一个调试对象，然后将其赋值到TEB结构的DbgSsReserved[1]中。如果该函数成功调用，接下来就会调用ProcessIdToHandle函数来将被调试进程的PID转为句柄，并将其赋给esi。ProcessIdToHandle函数会通过调用内核函数NtOpenProcess来获得进程句柄，在进行这一步的时候就需要调试进程与被调试进程有同样或更高的权限，否则这一步就会失败。

成功获得调试对象句柄以后，就会调用DbgUiDebugActiveProcess函数，此时第一个参数esi指向的是被调试进程的句柄，而edi指向的是调试进程的句柄

DbgUiDebugActiveProcess是ntdll.dll中的一个函数，该函数会调用ZwDebugActiveProcess

内核函数

在内核函数中，首先会通过ObReferenceObjectByHandle来获取被调试进程的对象

判断被调试对象是否是当前进程或系统进程，如果是的话，函数就会返回错误

再次调用ObReferenceObjectByHandle来获取调试对象的对象地址

获取调试对象以后，会调用DbgkpSetProcessDebugObject函数，此时esi保存的是被调试进程的对象地址，而[ebp+Process]保存的是调试对象的地址

DbgkpSetProcessDebugObject最重要的代码就是判断调试进程的DebugPort是否保存了调试对象，如果没保存，就将解析得到调试对象地址赋值到DebugPort中

当ntdll.dll中的DbgUiDebugActiveProcess函数调用ZwDebugProcess函数返回以后，就会调用函数DbgUiIssueRemoteBreakin在被调试进程中创建中断线程，使其可以中断到调试器中，随后退出函数

而DebugActiveProcess函数返回以后，就会调用NtClose关闭被调试进程句柄，再退出函数

在调试进程与被调试进程建立连接的过程中会创建一个调试对象，被调试进程对象的DebugPort字段保存了调试对象的地址，调试进程的调试线程的线程环境块(TEB)的偏移0xF24DbgSsReserved[1]中保存了调试对象的句柄

三.调试消息

1.采集调试消息

为了让调试进程得知被调试进程的状态，内核会将被调试进程所有的调试消息都收集起来发送给调试子系统。调试消息用DBGKM_APIMSG结构描述，该结构定义如下：

不同的消息会在内核执行不同函数的时候被采集起来，具体情况如下：

这些不同的Dbgk采集例程会根据当前进程的DebugPort字段来判断是否处于被调试状态。如果不是，便会忽略这次调用；如果处于调试状态，便会产生一个DBGKM_APIMSG结构，该结构的定义如下：

其中联合体u根据消息类型的不同而不同，用来描述消息参数和详细信息。

接下来以DbgkForwardException函数为例，体会上述过程。该函数原型如下：

函数首先会对一些字段进行填充，然后判断是否是要发送给调试端口

如果是调试端口，接下来就会判断DebugPort字段是否存在，也就是是否存在调试器

如果存在调试调试器，就会继续填充字段

调用DbgkpSendApiMessage将结构体发送给调试子系统

对函数的返回结果以及ReturnedStatus进行判断

如果验证通过，则将返回值赋为1，然后退出函数

所有的调试消息的采集例程的代码主要的执行内容都是以下这几个步骤：

• 判断是否存在调试器，也就是DebugPort是否为空

• 填充DBGKM_APIMSG结构

• 将DBGKM_APIMSG结构的作为参数，调用DbgkpSendApiMessage来讲调试消息发送给调试子系统

最大的区别就是DBGKM_APIMSG结构的联合体u中保存的数据的不同

2.发送调试消息

上面提到通过DbgkpSendApiMessage来将调试消息发送给调试子系统，该函数定义如下：

函数首先就会判断参数SuspendProcess，如果为TRUE就会调用DbgkpSuspendProcess，并将返回值赋给参数SuspendProcess

而DbgkpSuspendProcess则是通过KeFreezeAllThreads来冻结线程

接下来函数会调用DbgkpQueueMessage来发送调试消息

在根据前面是否成功将线程冻结来觉得是否要恢复线程

DbgkpQueueMessage的作用是向一个调试对象的消息队列中追加调试事件。而调试消息队列的每一个节点都是DBGKM_DEBUG_EVENT结构，该结构定义如下：

因此，DbgkpQueueMessage函数首先就是申请一块内存用来保存这些数据，但是在申请之前将参数Event的数据与2进行与操作以后保存在局部变量var_Event中，也就是判断参数中是否有不需等待(NOWAIT，值为2)的标志

通过申请的内存来对一些字段进行赋值

将调试对象赋值给参数Event的地址，将调试消息类型赋值给eax

根据调试消息类型进行相应的操作

继续为成员赋值

继续赋值，并判断DebugPort是否存在调试对象，如果不存在则返回错误，此时Event中保存的是DebugPort所保存的调试对象的地址

接下来就会将生成并且赋值好的DBGKM_DEBUG_EVENT插入到调试对象EventList中，判断局部变量var_Event的值是否为0，该值是在函数开始的时候，参数Event的值与2进行与操作的结果，如果为0，则说明Event中不带有不需等待的（NOWAIT）标志

如果Event参数不带有无需等待的标志，接下来就会通过调用KeSetEvent来设置调试对象

并通过KeWaitForSingleObject来等待ContinueEvent对象

当调试器处理好对象后，它会设置ContinueEvent对象，此时处于等待状态的被调试进程就会被唤醒，继续运行。

函数会将DBGKM_DEBUG_EVENT中的ApiMsg赋值到参数ApiMsg中，并取出Status将其赋值到参数Thread的地址

将参数Thread中保存的数据作为返回值返回，也就是将Status返回

下篇：Windows内核学习笔记之调试（下）

[培训]内核驱动高级班，冲击BAT一流互联网大厂工 作，每周日13:00-18:00直播授课