WinDBG调试驱动时中断DriverEntry的方法

1.无符号文件的驱动中断DriverEntry方法一:

• 在加载驱动之前,先使用设置异常命令sxe,设置加载驱动文件时中断.

命令格式:sxe ld <驱动文件名>

• 加载驱动中断后,使用lm命令查看驱动模块的基址.

命令格式:lm m <驱动文件名>

• 通过计算PE文件入口点地址,得到DriverEntry的地址.

计算公式如下:

DriverEntry = moduleBase + *(DWORD*)( moduleBase + *(DWORD*)(moduleBase + 0x3C ) + 0x28);

WinDBG命令如下:

bp moduleBase +poi( moduleBase + poi( moduleBase + 0x3C ) + 0x28 )

 

2.无符号文件的驱动中断DriverEntry方法二:

• 首先使用命令:uf nt!IopLoadDriver 在WinDBG中查看该函数的反汇编指令.
• 在反汇编窗口中向下找到nt!IopLoadDriver+0x663地址.通过命令:bp nt!IopLoadDriver+0x663对地址下断点.

8057777c ff572c          call    dword ptr [edi+2Ch]<----进入这个call里面就是DriverEntry

 

3.有符号文件的驱动中断DriverEntry方法:

• 加载驱动符号文件后使用命令:bp  <驱动文件名>!DriverEntry

 

4.有源码情况下的方法:

• 在DriverEntry函数开始位置增加下面的代码.

#ifdef _DBG

__asm int 3

#endif