调试器编写第一讲,调试器基本框架

/*
ContinueDebugEvent　　　　　　:看名字就知道,继续调试事件,意思就是调试程序的时候有事件来,你处理完了要继续.

DebugActiveProcess　　　　　　:调试程序,附加进程,这个API就是,如果我们的程序打开了,那么调用这个API,传入进程ID是可以附加调试的.

DebugActiveProcessStop 　　　:停止调试器,调试的指定进程,也就是调试器要停止对某一个进程的调试

debugBreak　　　　　　　　　　　:如果程序处于调试的状态,,如果发生断点异常(下断点),允许线程,通知我们的调试器来调试,处理这个异常.否则系统接收
DebugBreakProcess　　　　　　 :在指定的进程中,产生一个断点异常
DebugSetProcessKillOnExit　　:设置调试的线程,退出的时候进行的操作.

FatalExit　　　　　　　　　　　 :强制退出调用的进程,并将控制权交给调试器
FlushInstructionCache       :刷新指令的高速缓存

GetThreadContext　　　       :获取寄存器的信息,具体获取那个,要设置标志位,标志位在注释中(MSDN查不到)
GetThreadSelectorEntry　    :获取指定选择器和线程的描述的入口表.
IsDebuggerPresent　　       :判断进程是否在调试器下面运行(和我们前面说的反调试那个差不多,都是判断调试是否运行)
OutPutDebugString           :调试输出字符串.

ReadProcessMemory          :读取指定进程的某块数据

SetThreadContext　　　　　　:设置寄存器

WaitForDebugEvent　　　 　　:等待调试事件
WriteProcessMemory   　　  :往指定进程写某块数据
*/

LOCAL @si:STARTUPINFO 
    LOCAL @di:PROCESS_INFORMATION
    mov @si.cb,sizeof STARTUPINFO
    ;创建调试进程
    invoke CreateProcess,offset g_szAppName,NULL,NULL,NULL,FALSE,DEBUG_PROCESS,NULL,NULL,addr 
    @si,addr @di

typedef struct _DEBUG_EVENT { 
  DWORD dwDebugEventCode; 
  DWORD dwProcessId; 
  DWORD dwThreadId; 
  union { 
      EXCEPTION_DEBUG_INFO Exception; 
      CREATE_THREAD_DEBUG_INFO CreateThread; 
      CREATE_PROCESS_DEBUG_INFO CreateProcessInfo; 
      EXIT_THREAD_DEBUG_INFO ExitThread; 
      EXIT_PROCESS_DEBUG_INFO ExitProcess; 
      LOAD_DLL_DEBUG_INFO LoadDll; 
      UNLOAD_DLL_DEBUG_INFO UnloadDll; 
      OUTPUT_DEBUG_STRING_INFO DebugString; 
      RIP_INFO RipInfo; 
  } u; 
} DEBUG_EVENT, *LPDEBUG_EVENT;

typedef struct _EXCEPTION_DEBUG_INFO { 
  EXCEPTION_RECORD ExceptionRecord; 
  DWORD dwFirstChance; 
} EXCEPTION_DEBUG_INFO, *LPEXCEPTION_DEBUG_INFO; 

   assume ecx:ptr DEBUG_EVENT
    
    
    ;EXCEPTION_DEBUG_EVENT  代表我不处理,DBG_CONTINUE代表我处理,这就是OD的F9运行起来的功能
    .while TRUE
          invoke WaitForDebugEvent,addr @DebugEv,INFINITE         ;等待事件到来
          lea ecx,@DebugEv                                        ;结果放到ecx当中,因为ecx已经假设为DebugEvent结构体了
          mov ebx,[ecx].dwDebugEventCode                          ;将结构体的异常代码给ebx,然后下方通过ebx判断是哪个事件来了
        .if     ebx == EXCEPTION_DEBUG_EVENT    ;检测事件是什么
         invoke  crt_puts,offset g_szEcpt
         mov @dwContinueStatus,EXCEPTION_DEBUG_EVENT
         
        .elseif ebx == CREATE_THREAD_DEBUG_EVENT
        
        invoke  crt_puts,offset g_szEcpt
        mov @dwContinueStatus,EXCEPTION_DEBUG_EVENT
        
        .elseif ebx == CREATE_PROCESS_DEBUG_EVENT
        
        invoke  crt_puts,offset g_szEcpt
        mov @dwContinueStatus,EXCEPTION_DEBUG_EVENT
        
        .elseif ebx == EXIT_THREAD_DEBUG_EVENT
        
        invoke  crt_puts,offset g_szEcpt
        mov @dwContinueStatus,EXCEPTION_DEBUG_EVENT
        
        .elseif ebx == EXIT_PROCESS_DEBUG_EVENT
        mov @dwContinueStatus,EXCEPTION_DEBUG_EVENT
        
        .elseif ebx == LOAD_DLL_DEBUG_EVENT
        
        mov @dwContinueStatus,EXCEPTION_DEBUG_EVENT
        
        .elseif ebx == UNLOAD_DLL_DEBUG_EVENT
        mov @dwContinueStatus,EXCEPTION_DEBUG_EVENT
        
        .elseif ebx == OUTPUT_DEBUG_STRING_EVENT
        mov @dwContinueStatus,EXCEPTION_DEBUG_EVENT
        .endif
        invoke ContinueDebugEvent,[ecx].dwProcessId,
                                  [ecx].dwThreadId,       ;继续处理事件
                                   @dwContinueStatus
    .endw

EXCEPTION_DEBUG_EVENT    　　　　　　:被调试的调试程序的时候来,会在调试的程序中下一个int3断点.如果被调试的时候,则回来,属于系统断点

CREATE_THREAD_DEBUG_EVENT　　　　　　:被调试的程序创建线程的时候会来

CREATE_PROCESS_DEBUG_EVENT　　　　　:被调试的程序创建进程的时候会来

EXIT_THREAD_DEBUG_EVENT　　　　　　 :被调试的程序退出线程的时候会来

EXIT_PROCESS_DEBUG_EVENT　　　　　　:被调试的程序退出进程的时候会来

LOAD_DLL_DEBUG_EVENT　　　　　　　　:被调试的程序加载DLL的时候会来

UNLOAD_DLL_DEBUG_EVENT　　　　　　　:被调试的程序卸载DLL会来

OUTPUT_DEBUG_STRING_EVENT　　　　　:被调试的程序调试输出的时候会来

RIP_EVENT    　　　　　　　　　　　　:64位系统的事件,如果编写32位调试器,这个则不重要.