seh實現(xiàn)單步自跟蹤.

只看該作者 · 發(fā)表于 2008-9-28 16:36:42

有時如果你對SICE,TRW或者其他調(diào)試器顯示的信息有所懷疑的話,你可以用seh顯示一些信息作為簡單的調(diào)試手段,當然,單步跟蹤的用途遠不止于此.首先回憶一下我們以前了解的單步的概念,當EFLAGS的TF位為1的話執(zhí)行完某條指令后CPU將產(chǎn)生單步異常,與執(zhí)行軟指令int1類似.注意產(chǎn)生單步陷阱后eip已經(jīng)指向下一條指令.但進入單步異常處理程序后cpu自動清除TF,以便下條指令正常執(zhí)行.
  
我們要作的就是在seh例程中繼續(xù)置TF位為1,以便下一條指令執(zhí)行完畢后繼續(xù)產(chǎn)生單步陷阱實現(xiàn)跟蹤功能,直到遇到popfd指令為止,當然你也可以隨便檢測其他指令或者用記數(shù)器來終止單步.
 
下面例子中如果沒有單步跟蹤eax的最后結(jié)果是3,由于有了單步自跟蹤,在seh處理例程中我們每中斷一次要加1,所以最后的結(jié)果是7,呵呵.請看下面的例子.
;-----------------------------------------
;Ex7,演示利用seh單步自跟蹤 by Hume,2002
;humewen@21cn.com 
;hume.longcity.net
;-----------------------------------------
.586
.model flat, stdcall
option casemap :none   ; case sensitive
include hd.h
include mac.h
 
singlestep_xHandler      proto C :DWORD,:DWORD,:DWORD,:DWORD
;;--------------
.data
count   dd      0
Msg0    db      "Eax=="
DispEAX dd      0,0
;;-----------------------------------------
.CODE
_Start:
   assume fs:nothing
push    offset singlestep_xHandler
        push    fs:[0]
        mov     fs:[0],esp
        ;------------------
        xor     eax,eax
        pushfd
        pushfd
        or      dword ptr[esp],100h       
        popfd                             ;置TF標志進入單步狀態(tài)
 
        nop                               ; nop執(zhí)行完后單步異常引發(fā)  
        inc     eax                       ; eip指向,nop后面的指令,就是這里
        inc     eax                       ; 單步執(zhí)行
        inc     eax                       ; normal eax==3,but infact eax==7
 
        popfd
        ;------------------ 
        add     eax,30h                   ;convert to ASCIIZ
        mov     DispEAX,eax
        invoke    MessageBox,0,addr Msg0,ddd("The Eax equal to..."),0
        
        pop     fs:[0]
        add     esp,4
        invoke    ExitProcess,0
;-----------------------------------------
singlestep_xHandler PROC C pExcept:DWORD,pFrame:DWORD,pContext:DWORD,pDispatch:DWORD
        pushad        
assume  edi:ptr CONTEXT
assume  esi:ptr EXCEPTION_RECORD
       
        mov     esi,pExcept
        mov     edi,pContext      
         
        test    dword ptr[esi+4],1              ;Exception flags test common stuff
        jnz     @f        
        test    dword ptr[esi+4],6
        jnz     @f
        cmp    dword ptr[esi],80000004h         ;是否為單步異常標志
        jnz     @f
 
        inc     [edi].regEax 
        mov     ebx,[edi].regEip
        cmp     byte ptr[ebx],9Dh               ;是否是popfd,因為目的是取消
        jz     @finish_singlestep               ;單步狀態(tài),所以這時就不應(yīng)該重置TF
        or      [edi].regFlag,100h              ;否則,重置TF    
                                                ;每單步中斷一次,eax加1
                                                ;所以eax最后不等于3,而是
                                                ;中斷4次后,eax==7        
@finish_singlestep:        
        
        mov     dword ptr[esp+7*4],0            ;eax==0  hehe...
        popad                                 ;研究一下pushad指令就明白了
        ret
@@:
        mov     dword ptr[esp+7*4],1            ;eax==1
        popad    
        ret
 
singlestep_xHandler ENDP
;-----------------------------------------
END    _Start

賬號		自動登錄	找回密碼
密碼			注冊

久久综合伊人噜噜色,日本三级香港三级人妇电影精品,亚洲中文色资源,国产高清一区二区三区人妖

seh實現(xiàn)單步自跟蹤.