INT 3 中断调试处理流程

Windows内核分析索引目录：https://www.cnblogs.com/onetrainee/p/11675224.html

INT 3 中断调试处理流程

一、调试器如何下INT 3 断点

　　1）首先，调试器使用 ReadProcessMemory，读取断点内存地址的字节。

　　2）之后，调试器再使用 WriteProcessMemory，将指定的内存地址指令写为0xCC。

　　3）之后，当程序执行到这里，遇到CC指令，会从IDT表中查03号段描述符，其会定向到Trap03函数。

　　4）经过一系列操作（下面会介绍），此时调试器就会接收到INT 3中断，程序暂停，用户可以用来进行一些处理。

　　5）恢复时，将1）读取的字节再重新写入到CC处，这样就可以保证程序的正常执行。

 

二、INT 3 异常指令如何派发到调试器

　　我们在 一、3) 中，其会经过 Trap03，因此INT3异常信息肯定是在这里发送的。

　　我们前面学过异常等派发，其检测到存在三环调试器时会发送到三环调试器，因此其派发也就是在这时进行的。

　　派发流程大体如下：

　　

 

 

三、上面产生的两个疑问：

　　1）在 _kiDispatchException 中存在 dec eip，为什么调试器还需要修复 eip

　　注意：这个是Context.eip--，而三环与零环走的是 TrapFrame 结构。因此即使在这里 Context.eip--，调试器接收调试信息是关于TrapFrame的。

　　如果调试器没有处理，则异常处理回重新回到三环，调用SEH异常处理结构，这时Context.eip就起作用了。

　　因此，调试器手动修复 INT 3 断点时，必须将eip--，回到程序执行前。

　　2）为什么INT 3异常时不会走内核调试器

　　我们假设这种情况，利用windbg调试虚拟机，在此基础上再虚拟机中开启OD调试程序，这时你会发现，是OD接收异常，Windbg不会接收异常。

　　具体情况可以查看KiDispatchException函数，其调用内核调试器的代码如下

 1             if ((KiDebugRoutine != NULL)  &&
 2                 ((PsGetCurrentProcess()->DebugPort == NULL &&
 3                   !KdIgnoreUmExceptions) ||
 4                  (KdIsThisAKdTrap(ExceptionRecord, &ContextFrame, UserMode)))) {
 5                 //
 6                 // Now dispatch the fault to the kernel debugger.
 7                 //
 8 
 9                 if ((((KiDebugRoutine) (TrapFrame,
10                                         ExceptionFrame,
11                                         ExceptionRecord,
12                                         &ContextFrame,
13                                         PreviousMode,
14                                         FALSE)) != FALSE)) {
15 
16                     goto Handled1;
17                 }
18             }

　　可以查看 _KdIsThisAdktrap函数，当存在三环调试器时，对于INT 3 异常不会走内核调试器。

　　

 

四、异常处理的整体流程