寻找调用DebugPort的函数

打开虚拟机，打开一个程序。如 LoadSys.exe

之后本机打开Windbg通过串行端口连接虚拟机。

lkd->!process 0 0 LoadSys.exe

得到LoadSys.exe 的EPROCESS地址如。0x87654321

lkd->ba r4 0x87654321+0xec （WIN7上DebugPort 偏移为 0xec,可以通过lkd->dt nt!_eprocess,查看。）

上一句下了访问断点。。之后进入虚拟机，打开一个OD。附加LoadSys.exe..这时虚拟机就会断下来。我们来看看调用了哪些函数。。

代码:

读： nt!DbgkCreateThread+0x22a: 856ab86a 399eec000000    cmp     dword ptr [esi+0ECh],ebx  nt!PsGetProcessDebugPort+0x8: 85514130 8b80ec000000    mov     eax,dword ptr [eax+0ECh]  nt!DbgkpSetProcessDebugObject+0x8d: 856f7959 83beec00000000  cmp     dword ptr [esi+0ECh],0  nt!DbgkpSetProcessDebugObject+0x9d: 856f7969 89beec000000    mov     dword ptr [esi+0ECh],edi  nt!DbgkpMarkProcessPeb+0x85: 856f6e90 3987ec000000    cmp     dword ptr [edi+0ECh],eax  nt!DbgkpQueueMessage+0xad: 856f74a7 8b80ec000000    mov     eax,dword ptr [eax+0ECh]  nt!KiDispatchException+0x1d8: 8550539f 39b0ec000000    cmp     dword ptr [eax+0ECh],esi  nt!DbgkForwardException+0x49: 8565deac 8b98ec000000    mov     ebx,dword ptr [eax+0ECh]  nt!PspExitThread+0x2ad: 8569094c 83bfec00000000  cmp     dword ptr [edi+0ECh],0  nt!DbgkExitThread+0x28: 856f8cf1 83b9ec00000000  cmp     dword ptr [ecx+0ECh],0  nt!PspTerminateAllThreads+0x1dd: 856a7ff4 83bfec00000000  cmp     dword ptr [edi+0ECh],0  nt!DbgkExitProcess+0x28: 856f8d63 83b9ec00000000  cmp     dword ptr [ecx+0ECh],0  nt!DbgkpCloseObject+0xd6: 856f707f 3998ec000000    cmp     dword ptr [eax+0ECh],ebx  nt!DbgkpCloseObject+0x119: 856f70c2 3998ec000000    cmp     dword ptr [eax+0ECh],ebx  nt!DbgkpCloseObject+0x121: 856f70ca 83a0ec00000000  and     dword ptr [eax+0ECh],0 

以上为读断点部分。。

记下函数+偏移,进入虚拟机，退出OD和LoadSys.exe...

重新打开LoadSys.exe
之后回到Windbg
lkd->!process 0 0 LoadSys.exe
重新获得 LoadSys.exe 的EPROCESS地址，如：0x88776655

lkd->ba w4 0x88776655+0xec
给LoadSys.exe的DebugPort下写入断点

再进入虚拟机，开OD，附加LoadSys.exe..之后就会断下。。。

代码:

写： nt!DbgkpSetProcessDebugObject+0xa3   //和读其中一个重复  nt!DbgkClearProcessDebugObject+0x41: 856d3e84 05ec000000      add     eax,0ECh  nt!DbgkpCloseObject+0x128            ////和读其中一个重复 

至此我们就找到了WIN7下 调试写入DebugPort的内核相关函数。

==========================================================

但是这个时候的函数并不完整，比如在最后HOOK这些函数后，进行调试发现退出时还是会出错，

这个时候在退出调试时再对debugport进行检测 及其对网上现有XP代码中的debugport相关函数的反汇编发下还有如下代码：

nt!PspProcessDelete+0xbc: 840aa771 8db7ec000000    lea     esi,[edi+0ECh]					   nt!DbgkCopyProcessDebugPort+0xf: 84089865 83a0ec00000000  and     dword ptr [eax+0ECh],0				   nt!DbgkCopyProcessDebugPort+0x1e: 84089874 8b7d0c          mov     edi,dword ptr [ebp+0Ch]   nt!DbgkCopyProcessDebugPort+0x5e: 840898b4 8bbfec000000    mov     edi,dword ptr [edi+0ECh]   nt!DbgkOpenProcessDebugPort+0x16: 840e4c5e 399fec000000    cmp     dword ptr [edi+0ECh],ebx   nt!DbgkOpenProcessDebugPort+0x54: 840e4c9c 8bbfec000000    mov     edi,dword ptr [edi+0ECh]   nt!ObpCloseHandle+0xd1: 8407c13e 3988ec000000    cmp     dword ptr [eax+0ECh],ecx   nt!ObpCloseHandleTableEntry+0x181: 8407c326 83b8ec00000000  cmp     dword ptr [eax+0ECh],0   nt!PsIsProcessBeingDebugged+0x8: 84113a11 83b8ec00000000  cmp     dword ptr [eax+0ECh],0   nt!NtQueryInformationProcess+0x91d: 8406f00c 8b81ec000000    mov     eax,dword ptr [ecx+0ECh] 

至于是否完整，这个验证方法只有HOOK以后调试时才能发现，如果发现错误，可以再次监控debugport，通过栈回溯来发现漏掉的函数。