当前位置： 首页 > news >正文

汇编语言全接触-29.Win32调试API二

news 2026/5/12 19:37:06

我们继续Win32调试API的话题。在本章中，我们将要学习如何修改被调试程序。

下载 the example

理论:

在前面一章中，我们学会了如何装载被调试的进程以及如何处理进程中发生的事件。为了有实际用途，我们的程序应具有修改被调试程序的能力。有好几个API函数用于这一目的。

ReadProcessMemory该函数允许你去读指定的进程的内存。函数原型如下:

ReadProcessMemory proto hProcess:DWORD, lpBaseAddress:DWORD, lpBuffer:DWORD, nSize:DWORD, lpNumberOfBytesRead:DWORD

hProcess 待读进程的句柄.

lpBaseAddress 目标进程中待读内存起始地址。例如，如果你想要读目标 进程中从地址401000h开始的4个字节，该参数值应置为401000h。

lpBuffer 接收缓冲区地址

nSize 想要读的字节数。

lpNumberOfBytesRead 记录实际读取的字节数的变量地址。如果对这个值 不关心，填入NULL即可。

WriteProcessMemory 是对应于ReadProcessMemory的函数，通过它 可以写目标进程的内存。其参数和ReadProcessMemory 相同。

理解接下去的两个函数需要一些进程上下文的有关背景知识。在象Windows这样的 多任务操作系统中，同一时间里可能运行着几个程序。Windows分配给每个线程一个 时间片，当时间片结束后，Windows将冻结当前线程并切换到下一具有最高优先级的 线程。在切换之前，Windows将保存当前进程的寄存器的 内容，这样当在该线程再 次恢复运行时，Windows可以恢复最近一次线程运行的*环境*。保存的寄存器内容总 称为进程上下文。

现在回到我们的主题。当一个调试事件发生时，Windows暂停被调试进程，并保存其 进程上下文。由于进程被暂停运行，我们可以确信其进程上下文内容将保持不变。 可以用GetThreadContext来获取进程上下文内容，并且也可以用GetThreadContext 来修改进程上下文内容。

这两个函数威力非凡。有了他们，对被调试进程你就具有象VxD的能力: 如改变其寄 存器内容，而在被调试程序恢复运行前，这些值将会写回寄存器中。在进程上下文中 所做的任何改动，将都会反映到被调试程序中。想象一下: 甚至可以改变eip寄存器 的内容，这样你可以让程序运行到你想要的任何地方! 在正常情况下是不可能做到这 一点的。

GetThreadContext proto hThread:DWORD, lpContext:DWORD

hThread 你想要获得上下文的线程句柄

lpContext 函数成功返回时用来保存上下文内容的结构指针。

SetThreadContext 参数相同。让我们来看看上下文的结构:

CONTEXT STRUCT

ContextFlags dd ?

;----------------------------------------------------------------------------------------------------------

;当ContextFlags包含CONTEXT_DEBUG_REGISTERS，返回本部分

;-----------------------------------------------------------------------------------------------------------

iDr0 dd ?

iDr1 dd ?

iDr2 dd ?

iDr3 dd ?

iDr6 dd ?

iDr7 dd ?

;----------------------------------------------------------------------------------------------------------

;当ContextFlags包含CONTEXT_FLOATING_POINT，返回本部分

;-----------------------------------------------------------------------------------------------------------

FloatSave FLOATING_SAVE_AREA <>

;----------------------------------------------------------------------------------------------------------

;当ContextFlags包含CONTEXT_SEGMENTS，返回本部分

;-----------------------------------------------------------------------------------------------------------

regGs dd ?

regFs dd ?

regEs dd ?

regDs dd ?

;----------------------------------------------------------------------------------------------------------

;当ContextFlags包含CONTEXT_INTEGER，返回本部分

;-----------------------------------------------------------------------------------------------------------

regEdi dd ?

regEsi dd ?

regEbx dd ?

regEdx dd ?

regEcx dd ?

regEax dd ?

;----------------------------------------------------------------------------------------------------------

;当ContextFlags包含CONTEXT_CONTROL，返回本部分

;-----------------------------------------------------------------------------------------------------------

regEbp dd ?

regEip dd ?

regCs dd ?

regFlag dd ?

regEsp dd ?

regSs dd ?

;----------------------------------------------------------------------------------------------------------

;当ContextFlags包含CONTEXT_EXTENDED_REGISTERS，返回本部分

;-----------------------------------------------------------------------------------------------------------

ExtendedRegisters db MAXIMUM_SUPPORTED_EXTENSION dup(?) CONTEXT ENDS

可以看出，该结构中的成员是对实际处理器的寄存器的模仿。在使用该结构之前 要在ContextFlags 中指定哪些寄存器组用来读写。如要访问所有的寄存器， 你可以置ContextFlags 为CONTEXT_FULL 。或者只访问regEbp, regEip, regCs, regFlag, regEsp 或 regSs, 应置ContextFlags 为 CONTEXT_CONTROL 。

在使用结构CONTEXT 时还应记住: 它必须是双字对齐的，否则在NT下将得 到奇怪的结果。可以在定义前加上"align dword"。例如:

align dword

MyContext CONTEXT <>

例:

第一个例子演示DebugActiveProcess的使用。首先，需要在Windows显示在屏幕上以前运行一个待调试程序win.exe，该程序将处于无限循环运行状态中。然后你运行例子程序，它将把自己与win.exe连接起来，并且修改win.exe的代码，这样win.exe将退出无限循环状态而显示自己的窗口。

.386

.model flat,stdcall

option casemap:none

include \masm32\include\windows.inc

include \masm32\include\kernel32.inc

include \masm32\include\comdlg32.inc

include \masm32\include\user32.inc

includelib \masm32\lib\kernel32.lib

includelib \masm32\lib\comdlg32.lib

includelib \masm32\lib\user32.lib

.data

AppName db "Win32 Debug Example no.2",0

ClassName db "SimpleWinClass",0

SearchFail db "Cannot find the target process",0

TargetPatched db "Target patched!",0

buffer dw 9090h

.data?

DBEvent DEBUG_EVENT <>

ProcessId dd ?

ThreadId dd ?

align dword

context CONTEXT <>

.code

start:

invoke FindWindow, addr ClassName, NULL

.if eax!=NULL

invoke GetWindowThreadProcessId, eax, addr ProcessId

mov ThreadId, eax

invoke DebugActiveProcess, ProcessId

.while TRUE

invoke WaitForDebugEvent, addr DBEvent, INFINITE

.break .if DBEvent.dwDebugEventCode==EXIT_PROCESS_DEBUG_EVENT

.if DBEvent.dwDebugEventCode==CREATE_PROCESS_DEBUG_EVENT

mov context.ContextFlags, CONTEXT_CONTROL

invoke GetThreadContext,DBEvent.u.CreateProcessInfo.hThread, addr context

invoke WriteProcessMemory, DBEvent.u.CreateProcessInfo.hProcess, context.regEip ,addr buffer, 2, NULL

invoke MessageBox, 0, addr TargetPatched, addr AppName, MB_OK+MB_ICONINFORMATION

.elseif DBEvent.dwDebugEventCode==EXCEPTION_DEBUG_EVENT

.if DBEvent.u.Exception.pExceptionRecord.ExceptionCode==EXCEPTION_BREAKPOINT

invoke ContinueDebugEvent, DBEvent.dwProcessId,DBEvent.dwThreadId, DBG_CONTINUE

.continue

.endif

.endif

invoke ContinueDebugEvent, DBEvent.dwProcessId, DBEvent.dwThreadId, DBG_EXCEPTION_NOT_HANDLED

.endw

.else

invoke MessageBox, 0, addr SearchFail, addr AppName,MB_OK+MB_ICONERROR .endif

invoke ExitProcess, 0

end start

;--------------------------------------------------------------------

; The partial source code of win.asm, our debuggee. It's actually

; the simple window example in tutorial 2 with an infinite loop inserted

; just before it enters the message loop.

;----------------------------------------------------------------------

......

mov wc.hIconSm,eax

invoke LoadCursor,NULL,IDC_ARROW

mov wc.hCursor,eax

invoke RegisterClassEx, addr wc

INVOKE CreateWindowEx,NULL,ADDR ClassName,ADDR AppName,\ WS_OVERLAPPEDWINDOW,CW_USEDEFAULT,\ CW_USEDEFAULT,CW_USEDEFAULT,CW_USEDEFAULT,NULL,NULL,\ hInst,NULL

mov hwnd,eax

jmp $ <---- Here's our infinite loop. It assembles to EB FE

invoke ShowWindow, hwnd,SW_SHOWNORMAL

invoke UpdateWindow, hwnd

.while TRUE

invoke GetMessage, ADDR msg,NULL,0,0

.break .if (!eax)

invoke TranslateMessage, ADDR msg

invoke DispatchMessage, ADDR msg

.endw

mov eax,msg.wParam

ret

WinMain endp

分析:

invoke FindWindow, addr ClassName, NULL

我们的程序需要用DebugActiveProcess将自己绑定到被调试程序，这需要知道被调试程序的进程Id。用GetWindowThreadProcessId 可以得到该Id，该函数需要窗口句柄作为参数，因此首先需要知道窗口句柄。

用FindWindow, 我们先指定窗口类的名称，返回的是该类创建的窗口句柄。如 果返回NULL，则表明当前没有该类的窗口。

.if eax!=NULL

invoke GetWindowThreadProcessId, eax, addr ProcessId

mov ThreadId, eax

invoke DebugActiveProcess, ProcessId

得到进程Id后，我们调用DebugActiveProcess。这样就进入等待调试事件的循环中。

.if DBEvent.dwDebugEventCode==CREATE_PROCESS_DEBUG_EVENT

mov context.ContextFlags, CO

http://www.jsqmd.com/news/92786/

相关文章：

  • 性能检测日志系统
  • 15、UNIX和Linux编程基础与进阶技巧
  • 23、全面解析TCP/IP：资源、书籍与网络应用指南
  • AI Agent多轮对话解析：四大核心模块与三大解决方案，打造真正智能的AI助手！
  • 24、私有 IP 网络地址分配解析
  • webvm 用浏览器启动的虚拟环境
  • STM32芯片程序读取方法总结
  • 16、UNIX和Linux实用技巧与操作指南
  • 同样做黑五，他凭效率赚翻倍？新常态玩法揭秘
  • 2026趋势展望：DSL模型能力将成为AI数据分析可用性的关键
  • 18、高级 shell 编程实用指南
  • 金属3D打印质量的重要性
  • Web 服务和 SFTP 用户 操作目录
  • 5、VXLAN与BGP EVPN的融合：数据中心网络的优化方案
  • GEO 3小问：一文搞懂 AI 搜索时代的 “品牌曝光关键”
  • Github-Lobe Chat：下一代开源AI聊天框架，重新定义人机交互体验
  • 19、高级Shell编程与正则表达式实用指南
  • GPT-5.2与Gemini 3.0 Pro深度对比及第三方API接入实践指南
  • 计算机网络体系结构核心知识点整理
  • GPT-5.2与Gemini 3.0 Pro技术选型指南：核心能力对比+第三方API接入全攻略
  • FastAPI 功能及工作流程详解
  • 20、UNIX 正则表达式与过滤器实用指南
  • Ubuntu安装及相关设置
  • 21、UNIX、Linux 与 Awk 使用指南
  • pythonstudy Day36
  • 智能图表生成：当数据分析从“怎么做图”变成“问什么”——某平台新工作流的技术解构与应用前瞻
  • 泛函分析与偏微分方程（三）：弱拓扑、凸集与线性算子
  • 前端—CSS基础，零基础入门到精通，收藏这篇就够了
  • 2025年上海服务不错的书房全屋定制公司推荐，排名前几的全屋 - 工业品牌热点
  • 14、开源办公与网络应用全解析