插入-->D&F驱动之一（有驱动源码）_use hardware execution breakpoints (ba e) if possi-优快云博客

本文链接：https://blog.youkuaiyun.com/EXPENF/article/details/42717103

本文介绍了如何使用windbg进行双机调试，查看汇编指令，设置断点，以及通过.reload重新加载符号。通过调试示例，展示了在win32k!NtUserPostMessage和win32k!NtGdiAddFontResourceW等关键函数上的调试过程。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

广海混沌和魔鬼作坊

windbg双机调试。

//查看30条汇编指令

u NtOpenProcess l 30

F10 步过

F8、F11 步入（进入树里面）

*****************************************************************************本身源文件*****************************************************************************

<pre name="code" class="cpp">#include <ntddk.h>

NTSTATUS DriverEntry(PDRIVER_OBJECT pDriver,PUNICODE_STRING str)
{   
	//调试输出
	DbgPrint("Loading mogui Driver...\n\r");

    return 1;
}

**************************************************************************修改后的源文件****************************************************************************

#include <ntddk.h>
void UnloadDriver(PDRIVER_OBJECT pDriver);

NTSTATUS DriverEntry(PDRIVER_OBJECT pDriver,PUNICODE_STRING str)
{   
	//驱动 ->驱动卸载=卸载驱动
	pDriver->DriverUnload=UnloadDriver;
	//调试输出
	DbgPrint("Loading MyDriver...\r");//有一个换行的空格

    return 1;
}

void UnloadDriver(PDRIVER_OBJECT pDriver)
{   
	//调试输出
	DbgPrint("unLoading MyDriver...\r");

}

//看里面的内容

dd poi(KeServiceDescriptorTable)

shadow没有被导出，所以不能查看。

kd> Dd poi(KeServiceDescriptorTable-0x40+0x10)

bf999b80 ???????? ???????? ???????? ????????

bf999b90 ???????? ???????? ???????? ????????

bf999ba0 ???????? ???????? ???????? ????????

bf999bb0 ???????? ???????? ???????? ????????

bf999bc0 ???????? ???????? ???????? ????????

bf999bd0 ???????? ???????? ???????? ????????

bf999be0 ???????? ???????? ???????? ????????

bf999bf0 ???????? ???????? ???????? ????????