Win32调试API学习心得(一)

  1<win32汇编程序设计>&gt;   
  2彭春华  :&lt;&lt;用Debug函数实现API函数的跟踪&gt;&gt;
  3
  4概述:   
  5Windows提供了一组供程序员使用的API,使用这些API,我们能够建立或捆绑到已运行的程序上来对他们进行调试,能获得程序的底层信息和调试信息.如果你原意的话,甚至可以对被调试程序进行任意的修改(用WriteProcessMemory). 
  6
  7先让我们从一个有趣的小例子开始吧: 打开DELPHI,新建工程,然后双击主窗体,在主窗体的Create事件中写下如下代码.   
  8procedure TForm1.FormCreate(Sender: TObject);   
  9var   
 10isDebuggerPresent: function:Boolean;   
 11DllModule: THandle;   
 12begin   
 13DllModule := LoadLibrary('kernel32.dll');   
 14isDebuggerPresent := GetProcAddress(DllModule, 'IsDebuggerPresent');   
 15if isDebuggerPresent then   
 16begin   
 17MessageBox(self.Handle, '请不要调试我!', '抗议', MB_OK or MB_ICONASTERISK);   
 18Application.Terminate;   
 19end;   
 20end;   
 21按F9运行,程序执行得并不顺利,在弹出来一个抱怨你调试了它的窗口后就中止了.然后我们再在DELPHI的Projecs目录下找到刚刚编释出来的程序, 双击执行它,这次窗口就老老实实的出来了,这是怎么回事呢? 
 22
 23原来上面的isDebuggerPresent就是Win32调试API中的一员,它的作用是判断调用它的进程是否在调试描述表下运行(也就是是否处于被调试状态),另一方面也说明了DELPHI的调试器也是用Win32调试API实现的.这下对调试API有兴趣了吧?那让我们来继续深入调试API的世界! 
 24
 25得到一个供调试的程序:   
 26由于我们的程序要扮演调试器的角色,我们还必需要有一个供调试的程序.这个程序可以通过二种方法获得:   
 271:使用DebugActiveProcess函数.   
 28这个函数的定义是DebugActiveProcess(dwProcessID: DWORD):Bool; stdcall, dwProcessID用于指定被调试的进程的标识符,如果函数调用成功返回TRUE,失败返回FALSE.注意,如果是在NT/2000/XP上,如果目标进程是由一个安全描述器创建的,而该安全描述符使调试器没有充分的访问权,那么此函数的调用可能失败.   
 292:使用CreateProcess函数.   
 30这个函数的定义是CreateProcess(lpApplicationName: PChar; lpCommandLine: PChar;lpProcessAttributes, lpThreadAttributes: PSecurityAttributes;   
 31bInheritHandles: BOOL; dwCreationFlags: DWORD; lpEnvironment: Pointer;   
 32lpCurrentDirectory: PChar; const lpStartupInfo: TStartupInfo;   
 33var lpProcessInformation: TProcessInformation): BOOL; stdcall   
 34由于篇幅原因,这儿就不详解CreateProcess的每个参数的含义,具体请参考API大全,我们这儿只谈如何创建一个被调试的进程.即设置dwCreationFlags参数,你可以指定DEBUG_PROCESS标志来建立一个被调试进程,同时被调试进程的子进程的调试信息也将通知我们的调试器.还可以指定DEBUG_PROCESS or DEBUG_ONLY_THIS_PROCESS标志来表示只调试当前过程. 
 35
 36处理调试信息:   
 37当我们用上面的方法之一打开了被调试的程序后,我们的程序应调用WaitForDebugEvent等待处理调试事件.它阻塞调用线程直到调试的事件发生.此函数的定义是:   
 38WaitForDebugEvent(var lpDebugEvent: TDebugEvent; dwMilliseconds: DWORD): BOOL; stdcall;   
 39其中lpDebugEvent结构将在调试事件发生时返回发生的调试事件信息.dwMilliseconds值指定函数等待调试事件的时间,以毫秒为单位,一般设为INFINITE,表示一直等待直到调试事件发生.   
 40这有点于类似于一个消息循环.我们一般都会新建一个线程,在线程中使用DebugActiveProcess或CreateProcess得到一个供调试的程序,然后用一个循环调用WaitForDebugEvent来处理随后发生的调试事件.至于为什么要在新的线程中处理呢?你不会想你的调试器一打开被调试程序后就一动也不能动了吧 ;-) 
 41
 42继续运行被调试程序:   
 43当调试事件发生后,被调试程序会被WINDOWS挂起,当我们处理完了调试事件后,还要让被调试程序继续运行,这就要用到ContinueDebugEvent函数,定义如下:   
 44ContinueDebugEvent(dwProcessId, dwThreadId, dwContinueStatus: DWORD): BOOL; stdcall;   
 45其中dwProcessID和dwThreadID是要被恢复的进程和线程ID,可以从lpDebugEvent结构中的dwProcessID和dwThreadID取得.dwContinueStatus是指明如何恢复线程,可能的取值有DBG_CONTINUE 和DBG_EXCEPTION_NOT_HANDLED,DBG_CONTINUE指明了如果被调试程序发生了异常,由调试器来处理异常.DBG_EXCEPTION_NOT_HANDLED则表示调试器不处理被调试程序的异常,由被调试程序的默认异常处理程序来处理异常. 
 46
 47下面是一个简单的例子,实现了监视被调试程序的建立和退出. 
 48
 49unit Unit1; 
 50
 51interface 
 52
 53uses   
 54Windows, Messages, SysUtils, Variants, Classes, Graphics, Controls, Forms,   
 55Dialogs, StdCtrls; 
 56
 57type   
 58TForm1 = class(TForm)   
 59Button1: TButton;   
 60procedure Button1Click(Sender: TObject);   
 61private   
 62{ Private declarations }   
 63public   
 64{ Public declarations }   
 65end; 
 66
 67var   
 68Form1: TForm1; 
 69
 70implementation 
 71
 72{$R *.dfm} 
 73
 74{调试信息处理过程}   
 75procedure DebugPro;   
 76var   
 77si: _STARTUPINFOA; {进程启动信息}   
 78pi: _PROCESS_INFORMATION; {进 程信息}   
 79Flage: DWORD;   
 80DebugD: DEBUG_EVENT; {调试事件}   
 81Rc: Boolean;   
 82begin   
 83{建 立调试进程}   
 84Flage := DEBUG_PROCESS or DEBUG_ONLY_THIS_PROCESS;   
 85GetStartupInfo(si); {初始化si结构,不然无法正常建立进程}   
 86if not CreateProcess(nil, Pchar('C:\winnt\NOTEPAD.EXE C:\Boot.ini'), nil, nil,   
 87False, Flage, nil, nil, si, pi) then   
 88begin   
 89MessageBox(Application.Handle, '建立被调试进程失败', '!!!', MB_OK or MB_ICONERROR);   
 90exit;   
 91end;   
 92while WaitForDebugEvent(DebugD, INFINITE) do   
 93begin {根据事件代码进行相应处理}   
 94case DebugD.dwDebugEventCode of   
 95EXIT_PROCESS_DEBUG_EVENT:   
 96begin   
 97MessageBox(Application.Handle, '被调试进程中止', '!!!', MB_OK or MB_ICONERROR);   
 98Break;   
 99end;   
100CREATE_PROCESS_DEBUG_EVENT:   
101MessageBox(Application.Handle, '被调试进程建立', '!!!', MB_OK or MB_ICONERROR);   
102EXCEPTION_DEBUG_EVENT:   
103begin   
104if (DebugD.Exception.ExceptionRecord.ExceptionCode &lt;&gt; EXCEPTION_SINGLE_STEP) and   
105(DebugD.Exception.ExceptionRecord.ExceptionCode &lt;&gt; EXCEPTION_BREAKPOINT) then   
106Rc := False {如果被调试程序产生了异常,让它自己处理}   
107else   
108Rc := True;   
109end;   
110end;   
111if Rc then   
112ContinueDebugEvent(DebugD.dwProcessId, DebugD.dwThreadId,   
113DBG_CONTINUE)   
114else   
115ContinueDebugEvent(DebugD.dwProcessId, DebugD.dwThreadId,   
116DBG_EXCEPTION_NOT_HANDLED);   
117end;   
118CloseHandle(pi.hProcess);   
119Closehandle(pi.hThread);   
120end; 
121
122procedure TForm1.Button1Click(Sender: TObject);   
123var   
124ThreadHandle, ThreadID: THandle;   
125begin   
126ThreadHandle := CreateThread(nil, 0, @DebugPro, nil, 0, ThreadID);   
127end; 
128
129end. 
130
131下一篇文章将祥细讲解调试事件的处理和事件结构的含义.敬请关注.</win32汇编程序设计>