上一章讲解了如何用调试API来打开一个被调试程序,并给出了一个简单的例子,这一章将祥细
讲解调试消息包含的内容.
类似于消息处理中的消息结构TMessage一样,调试事件也有自己特定的事件结构,那就是TDeb
ugEvent, TDebugEvent在Delphi中的定义为:
TDebugEvent = _DEBUG_EVENT;
_DEBUG_EVENT = record
dwDebugEventCode: DWORD;
dwProcessId: DWORD;
dwThreadId: DWORD;
case Integer of
0: (Exception: TExceptionDebugInfo);
1: (CreateThread: TCreateThreadDebugInfo);
2: (CreateProcessInfo: TCreateProcessDebugInfo);
3: (ExitThread: TExitThreadDebugInfo);
4: (ExitProcess: TExitThreadDebugInfo);
5: (LoadDll: TLoadDLLDebugInfo);
6: (UnloadDll: TUnloadDLLDebugInfo);
7: (DebugString: TOutputDebugStringInfo);
8: (RipInfo: TRIPInfo);
end;
这个结构很复杂,包含了三个基本类型和一个联合类型的数据.dwProcessId和dwThreadId指明
了产生调试事件的进程和线程的ID,dwDebugEventCode指明了产生了何种调试事件,可能的取值
如下表(摘自<
1<win32汇编程序设计>>):
21.CREATE_PROCESS_DEBUG_EVENT:进程被创建.当被调试进程刚被创建(还未运行) 或我们的程
3序刚以DebugActiveProcess捆绑到一个运行中的进程时该事件发生. 这是我们的程序应该获得
4的第一个事件.
52.EXIT_PROCESS_DEBUG_EVENT:被调试进程退出时产生此消息.
63.CREATE_THEAD_DEBUG_EVENT:当一个新线程在被调试进程中创建或我们的程序首次捆绑到运
7行中的进程时该事件发生.要注意的是当被调试进程的主线程被创建时不会收到该通知.
84.EXIT_THREAD_DEBUG_EVENT:被调试进程中的线程退出时事件发生.被调试进程的主线程退出
9时不会收到该通知.我们可以认为被调试进程的主线程与被调试进程是同义词. 因此, 当我们
10的程序看到CREATE_PROCESS_DEBUG_EVENT标志时,对主线程来说,就是CREATE_THREAD_DEBUG_E
11VENT标志.
125.LOAD_DLL_DEBUG_EVENT:被调试进程装入一个DLL.当PE装载器第一次分解指向DLL的链接时
13,我们将收到这一事件. (当调用CreateProcess装入 被调试进程时)并且当被调试进程调用Lo
14adLibrary时也会发生.
156.UNLOAD_DLL_DEBUG_EVENT:一个DLL从被调试进程中卸载时此事件发生.
167.EXCEPTION_DEBUG_EVENT:在被调试进程中发生异常时事件发生.异常实际上是一个调试中断
17(int 3h).如果想恢复被调试进程事,以 DBG_CONTINUE 标志调用ContinueDebugEvent 函数.
18不要使用DBG_EXCEPTION_NOT_HANDLED 标志否则被调试进程会在NT下拒绝运行(Win98下运行得
19很好).
208.OUTPUT_DEBUG_STRING_EVENT:当被调试进程调用DebugOutputString函数向我们的程序发送
21消息字符串时该事件发生.
229.RIP_EVENT:系统调试发生错误.
23
24
25根据dwDebugEventCode的不同,应调用联合中相应的结构来获得相关的调试信息.例如我们有
26个名为Debug的TDebguEvent的结构,在调用WaitForDebugEvent(Debug, INFINITE)后接收到调
27试信息时,并且dwDebugEventCode的值为CREATE_PROCESS_DEBUG_EVENT,我们就可以通过仿问D
28ebug.CreateProcessInfo.hProcess来获得刚创建的被调试进程的进程句柄.
29
30下面将祥细讲解TDebugEvent结构中可能包括的每个结构的含义.因为没有相关的祥细资料,大
31部分结果是靠测试所得,如有错漏敬请指正.
32
33一.CreateProcessInfo结构: 对应的调试消息CREATE_PROCESS_DEBUG_EVENT.
34CreateProcessInfo.hFile:被调试进程的EXE文件被映射到内存中的内存文件映射句柄,可以
35通过打开这个句柄(用OpenFileMapping和MapViewOfFile)来读取此EXE文件的相关信息.如引入
36引出表等.
37CreateProcessInfo.hProcess:被调试进程的进程句柄,如果要使用ReadProcessMemory和Wri
38teProcessMemory等函数来修改被调试进程,就需要用到这个句柄,可以用一个变量保存起来供
39以后使用.
40CreateProcessInfo.hThread:主线程句柄.
41CreateProcessInfo.lpBaseOfImage:可执行文件被装载到虚似地址空间中的基址.
42CreateProcessInfo.dwDebugInfoFileOffset:调试信息在可执行文件中的偏移地址(一般为0
43,即没有调试信息).
44CreateProcessInfo.nDebugInfoSize:调试信息的长度.
45CreateProcessInfo.lpThreadLocalBase:主线程基址.
46CreateProcessInfo.lpStartAddress:主线程的线程函数地址.
47CreateProcessInfo.lpImageName:文件映像名,注意这是一个RVA地址(相对虚拟地址).
48CreateProcessInfo.fUnicode:如果此值大于0,则lpImageName指向的文件名为UNICODE码.
49
50二.ExitProcess结构: 对应的调试消息EXIT_PROCESS_DEBUG_EVENT.
51ExitProcess.dwExitCode:即被调试程序调用ExitProcess函数时传入的退出代码.
52
53三.CreateThread结构: 对应的调试消息CREATE_THEAD_DEBUG_EVENT.
54CreateThread.hThread:新建线程的句柄.线程句柄,如果以后会涉及到对线程的操作,如挂起
55线程等,则可以用一个TList来保存进程ID(TDebugEvent.dwThreadId)和相对应的句柄.再在其
56它调试事件发生时,根据dwThreadId得到线程句柄.
57CreateThread.lpThreadLocalBase:新线程的基址.
58CreateThread.lpStartAddress:新线程的线程函数地址.
59
60四.ExitThread结构: 对应的调试消息EXIT_THREAD_DEBUG_EVENT.
61ExitThread.dwExitCode:即退出的线程调用ExitThread函数时传入的退出代码.
62
63五.LoadDll结构: 对应的调试消息LOAD_DLL_DEBUG_EVENT.
64LoadDll.hFile:被加载的DLL文件映射到内存中的内存文件映射句柄,可以通过打开这个句柄
65来读取此DLL文件的相关信息.
66LoadDll.lpBaseOfDll:DLL文件被装载到虚似地址空间中的基址.这个地址加上DLL文件引出的
67函数的地址,就是这个函数在内存中的地址.
68LoadDll.dwDebugInfoFileOffset:调试信息在DLL文件中的偏移地址.
69LoadDll.nDebugInfoSize:调试信息的长度.
70LoadDll.lpImageName:DLL文件名的地址,是一个RVA地.
71LoadDll.fUnicode:如果此值大于0,则lpImageName指向的文件名为UNICODE码.
72
73六.UnLoadDll结构: 对应的调试消息UNLOAD_DLL_DEBUG_EVENT.
74UnloadDll.lpBaseOfDll:卸载的DLL文件的基址,可以通过在处理LOAD_DLL_DEBUG_EVENT消息
75中保存DLL信息和对应的基址的方法,来得到卸载的DLL信息.
76
77七.Exception结构: 对应的调试消息EXCEPTION_DEBUG_EVENT.
78Exception.ExceptionRecord: 这是一个TExceptionRecord结构,里面包含了被调试程序产生
79的中断或异常的代码,产生的中断或异常的地址等信息.
80
81八.DebugString结构: 对应的调试消息OUTPUT_DEBUG_STRING_EVENT.
82DebugString.lpDebugStringData:被调试进程调用DebugOutputString函数发送的消息字符串
83的地址.
84DebugString.nDebugStringLength:被调试进程调用DebugOutputString函数发送的消息字符
85串的长度.
86DebugString.fUnicode:如果此值大于0,则消息字符串为UNICODE码.
87
88九.RipInfo结构: 对应的调试消息RIP_EVENT.
89RipInfo.dwError:错误代码.
90RipInfo.dwType:错误类型.
91
92了解了以上的知识,我们就可以在调试器中监视这些调试消息,并获得我们感兴趣的信息.但这
93仅仅实现了对被调试调试程序的监视.下一章将讲解如何修改被调试程序.</win32汇编程序设计>