KdEnteredDebugger变量的定位

最新推荐文章于 2021-10-14 02:48:05 发布

原创最新推荐文章于 2021-10-14 02:48:05 发布 · 673 阅读

0 ·

CC 4.0 BY-SA版权

驱动学习专栏收录该内容

14 篇文章

订阅专栏

本文介绍了如何在源文件中定义KdEnteredDebugger变量，并通过代码示例展示了如何打印该变量的地址。这对于理解内核调试环境和进行相关开发工作具有一定的指导意义。

仿照 KdDebuggerNotPresent变量的定义，在自己的源文件中添加下面两句来定义KdEnteredDebugger变量
*extern PBOOLEAN KdEnteredDebugger;
#define KD_ENTERED_DEBUGGER KdEnteredDebugger
如下面的代码就是打印KdEnteredDebugger变量的地址
#include<NTDDK.H>

extern PBOOLEAN KdEnteredDebugger;

#define KD_ENTERED_DEBUGGER *KdEnteredDebugger

//查找KdEnteredDebugger地址
VOID UnloadDriver(PDRIVER_OBJECT driver)
{
UNREFERENCED_PARAMETER(driver);
DbgPrint(“驱动卸载！！！！！”);
}

NTSTATUS DriverEntry(PDRIVER_OBJECT driver, PUNICODE_STRING RegistryPath)
{
NTSTATUS status=STATUS_SUCCESS;
UNICODE_STRING func;
PVOID addr = 0;
UNREFERENCED_PARAMETER(RegistryPath);
RtlInitUnicodeString(&func, L"IoAllocateMdl");
addr = MmGetSystemRoutineAddress(&func);
DbgPrint(“IoAllocateMdl的地址：%llx\n”,addr);
DbgPrint(“KdEnteredDebugger的地址：%llx\n”, KdEnteredDebugger);
driver->DriverUnload = UnloadDriver;