插入-->D&F驱动之一（有驱动源码）

最新推荐文章于 2024-05-24 11:20:18 发布

原创最新推荐文章于 2024-05-24 11:20:18 发布 · 621 阅读

CC 4.0 BY-SA版权

本文介绍了如何使用windbg进行双机调试，查看汇编指令，设置断点，以及通过.reload重新加载符号。通过调试示例，展示了在win32k!NtUserPostMessage和win32k!NtGdiAddFontResourceW等关键函数上的调试过程。

广海混沌和魔鬼作坊

windbg双机调试。

//查看30条汇编指令

u NtOpenProcess l 30

F10 步过

F8、F11 步入（进入树里面）

*****************************************************************************本身源文件*****************************************************************************

<pre name="code" class="cpp">#include <ntddk.h>

NTSTATUS DriverEntry(PDRIVER_OBJECT pDriver,PUNICODE_STRING str)
{   
	//调试输出
	DbgPrint("Loading mogui Driver...\n\r");

    return 1;
}

**************************************************************************修改后的源文件****************************************************************************

#include <ntddk.h>
void UnloadDriver(PDRIVER_OBJECT pDriver);

NTSTATUS DriverEntry(PDRIVER_OBJECT pDriver,PUNICODE_STRING str)
{   
	//驱动 ->驱动卸载=卸载驱动
	pDriver->DriverUnload=UnloadDriver;
	//调试输出
	DbgPrint("Loading MyDriver...\r");//有一个换行的空格

    return 1;
}

void UnloadDriver(PDRIVER_OBJECT pDriver)
{   
	//调试输出
	DbgPrint("unLoading MyDriver...\r");

}

//看里面的内容

dd poi(KeServiceDescriptorTable)

shadow没有被导出，所以不能查看。

kd> Dd poi(KeServiceDescriptorTable-0x40+0x10)

bf999b80 ???????? ???????? ???????? ????????

bf999b90 ???????? ???????? ???????? ????????

bf999ba0 ???????? ???????? ???????? ????????

bf999bb0 ???????? ???????? ???????? ????????

bf999bc0 ???????? ???????? ???????? ????????

bf999bd0 ???????? ???????? ???????? ????????

bf999be0 ???????? ???????? ???????? ????????

bf999bf0 ???????? ???????? ???????? ????????