Windows用户态调试器原理
Windows用户态调试器原理 Windows操作系统提供了一组API来支持调试器。
这些API可以分为三类：
创建调试目标的API；
在调试循环中处理调试事件的API。
查看和修改调试目标的API。
接下来将会分别对这三种API进行介绍。
创建调试目标
在调试器工作之前，需要创建调试目标。用户态调试器有两种创建调试目标的方法：一是创建新进程，二是附加到一个运行的进程。采用这两种方法中的任一种后，该进程就成为了调试目标。操作系统将调试器与调试目标关联起来。
调试器创建调试目标是通过调用CreateProcess并传入DEBUG_PROCESS标志。
如：
[cpp]
STARTUPINFO si={0};
si.cb=sizeof(si);
PROCESS_INFORMATION pi={0};
bool ret=CreateProcesss(NULL,argv[1],NULL,NULL,false,
DEBUG_PROCESS,NULL,NULL,&si,&pi);
调试器附加到一个运行的进程是通过调用DebugActiveProcess来实现的。
DebugActiveProcess
此函数允许将调试器捆绑到一个正在运行的进程上。
[cpp]
BOOL DebugActiveProcess(DWORD dwProcessId )
dwProcessId：欲捆绑进程的进程标识符
如果函数成功，则返回非零值；如果失败，则返回零
无论采用哪一种方法，调试器与操作系统的交互都是相同的。这种调试器被称为活动调试器（living debuger)。每个调试器只能有一个调试目标。
调试循环
在初学Windows时我们一定接触过消息循环。调试循环与此类似。
while(当调试不结束时）
{
//等待操作系统发送调试事件。
//处理调试事件。
//通知调试目标执行相应操作。
}
在调试目标被调试时，进程执行的一些操作会以事件的方式通知调试器。例如动态库的加载与卸载、新线程的创建和销毁以及代码或处理器抛出的异常都会通知调试器。
当有事件需要通知调试器时，操作系统会首先挂起调试目标的所有线程，然后把事件通知调试器。并且等待调试器通知其继续执行。
调试器会调用WaitForDebugEvent来等待事件通知的到来 。当有事件通知到来时此函数返回，返回的事件信息被封装在DEBUG_EVENT结构中。这个结构包含事件的类型等其他信息。
事件类型有以下几种：
WaitForDebugEvent
此函数用来等待被调试进程发生调试事件。
[cpp]
BOOL WaitForDebugEvent(LPDEBUG_ENENT lpDebugEvent, DWORD dwMilliseconds)
lpDebugEvent ：指向接收调试事件信息的DEBUG_ ENENT结构的指针
dwMilliseconds：指定用来等待调试事件发生的毫秒数，如果 这段时间内没有调试事件发生，函数将返回调用者；如果将该参数指定为INFINITE，函数将一直等待直到调试事件发生
如果函数成功，则返回非零值；如果失败，则返回零
在调试器调用WaitForDebugEvent返回后，得到事件通知，然后解析DEBUG_EVENT结构，并对事件进行响应，处理完成后调试器将会调用ContinueDebugEvent，并根据参数来通知调试目标执行相应操作。
ContinueDebugEvent函数
此函数允许调试器恢复先前由于调试事件而挂起的线程。
[cpp]
BOOL ContinueDebugEvent(DWORD dwProcessId,DWORD dwThreadId, DWORD dwContinueStatus )
dwProcessId 为被调试进程的进程标识符
dwThreadId 为欲恢复线程的线程标识符
dwContinueStatus指定了该线程将以何种方式继续，包含两个定义值DBG_CONTINUE和DBG_EXCEPTION_NOT_HANDLED
如果函数成功，则返回非零值；如果失败，则返回零。
具体实现为：
[cpp]
DWORD Condition=DBG_CONTINUE;
while(Condition)
{
DEBUG_EVENT DebugEvent={0};
WaitForDebugEvent(&DebugEvent,INFINITE);//等待调试事件
ProcessEvenet(DebugEvent)//处理调试事件。
ContinueDebugEvent(DebugEvent.dwProcessId,DebugEvent.dwThreadId,Condition);//通知调试目标继续执行。
}
ProcessEvent用于对调试事件进行处理。它是用户自定义函数。 在该函数内会对DEBUG_EVENT结构进行解析。
DEBUG_EVENT结构为：
[cpp]
typedef struct _DEBUG_EVENT {
DWORD dwDebugEventCode;
DWORD dwProcessId;
DWORD dwThreadId;
union {
EXCEPTION_DEBUG_INFO Exception;
CREATE_THREAD_DEBUG_INFO CreateThread;
CREATE_PROCESS_DEBUG_INFO CreateProcessInfo;
EXIT_THREAD_DEBUG_INFO ExitThread;
EXIT_PROCESS_DEBUG_INFO ExitProcess;
LOAD_DLL_DEBUG_INFO LoadDll;
UNLOAD_DLL_DEBUG_INFO UnloadDll;
OUTPUT_DEBUG_STRING_INFO DebugString;
RIP_INFO RipInfo;
} u;
} DEBUG_EVENT, *LPDEBUG_EVENT;
处理通知代码如下：
[cpp]
DWORD ProcessEvent(DEBUG_EVENT de)
{
switch(de.dwDebugEvent.Code)
{
case EXCEPTION_DEBUG_EVENT:
{
}
break;
case CREATE_THREAD_DEBUG_EVENT:
{
}
break;
case CREATE_PROCESS_DEBUG_EVENT:
{
&n
补充：软件开发 , C++ ,
- 更多C/C++疑问解答：
- 关于c++的cout输出的问题。
- 在学校里学过C和C++，不过学的很一般，现在自学C#，会不会很难？
- 全国计算机二级C语言笔试题
- 已知某树有2个2度结点，3个3度结点，4个4度结点，问有几个叶子结点？
- c++数据结构内部排序问题，整数排序
- 2012九月计算机二级C语言全国题库，，急求急求
- 如果assert只有一个字符串作为参数，是什么意思呢?
- C语言中，哪些运算符具有左结合性，哪些具有右结合性，帮忙总结下，谢谢了！
- 为什么用结构体编写的程序输入是，0输不出来啊~~~
- 将IEEE—754的十六进制转化为十进制浮点类型，用C或C++都行，多谢各位大侠啊，非常感谢！
- 为什么这个程序求不出公式？
- 这个链表倒置的算法请大家分析下
- c语言函数库调用
- C语言unsigned int纠错
- C语言快排求解啊