监听windbg内核调试通信数据

元始天尊

很简单，hook住readfile writefile即可，代码：

1. 
   
2. // hook.cpp : 定义 DLL 应用程序的导出函数。
   
3. //
   
4. 
   
5. #include "stdafx.h"
   
6. 
   
7. #include <windows.h>
   
8. #include <shlwapi.h>
   
9. #include "detours.h"
   
10. #include "common.h"
    
11. using namespace std;
    
12. #pragma comment(lib,"detours.lib")
    
13. #pragma comment(lib,"shlwapi.lib")
    
14. #include <string>
    
15. #include <fstream>
    
16. using namespace std;
    
17. 
    
18. 
    
19. 
    
20. #if defined(UNICODE) || defined(_UNICODE)
    
21. #define _T(X) L##X
    
22. #else
    
23. #define _T(X)
    
24. #endif
    
25. 
    
26. HANDLE WINAPI NEW_CreateFileW(LPCWSTR lpFileName,DWORD dwDesiredAccess,DWORD dwShareMode,LPSECURITY_ATTRIBUTES lpSecurityAttributes,
    
27.         DWORD dwCreationDisposition,DWORD dwFlagsAndAttributes,HANDLE hTemplateFile);
    
28. BOOL WINAPI NEW_ReadFile(HANDLE hFile,LPVOID lpBuffer,DWORD nNumberOfBytesToRead,LPDWORD lpNumberOfBytesRead,LPOVERLAPPED lpOverlapped);
    
29. BOOL WINAPI NEW_WriteFile(HANDLE hFile,LPCVOID lpBuffer,DWORD nNumberOfBytesToWrite,LPDWORD lpNumberOfBytesWritten,LPOVERLAPPED lpOverlapped);
    
30. 
    
31. 
    
32. #define G(X) GetProcAddress(GetModuleHandleW(L"kernel32.dll"),X)
    
33. 
    
34. FARPROC OLD_FUNCS[HookMax] =
    
35. {
    
36.         G("CreateFileW"),
    
37.         G("ReadFile"),
    
38.         G("WriteFile"),
    
39. };
    
40. 
    
41. FARPROC NEW_FUNCS[HookMax] =
    
42. {
    
43.         (FARPROC)NEW_CreateFileW,
    
44.         (FARPROC)NEW_ReadFile,
    
45.         (FARPROC)NEW_WriteFile,
    
46. };
    
47. 
    
48. HANDLE currentpipe=(HANDLE)-100;
    
49. HANDLE hOutputHandle;
    
50. HANDLE hLogFile=(HANDLE)-101;
    
51. HANDLE hDataFile=(HANDLE)-101;
    
52. 
    
53. CRITICAL_SECTION cs;
    
54. 
    
55. HANDLE WINAPI NEW_CreateFileW(LPCWSTR lpFileName,DWORD dwDesiredAccess,DWORD dwShareMode,LPSECURITY_ATTRIBUTES lpSecurityAttributes,
    
56.         DWORD dwCreationDisposition,DWORD dwFlagsAndAttributes,HANDLE hTemplateFile)
    
57. {
    
58.         HANDLE hFile = ((HANDLE (WINAPI*)(LPCWSTR,DWORD,DWORD,LPSECURITY_ATTRIBUTES,DWORD,DWORD,HANDLE))OLD_FUNCS[ECreateFileW])
    
59.                 (lpFileName,dwDesiredAccess,dwShareMode,lpSecurityAttributes,dwCreationDisposition,dwFlagsAndAttributes,hTemplateFile);
    
60.         if(StrStrIW(lpFileName,L"pipe\\com_1") && hFile != INVALID_HANDLE_VALUE)
    
61.         {
    
62.                 currentpipe=hFile;
    
63.         }
    
64.         return hFile;
    
65. }
    
66. 
    
67. BOOL WINAPI NEW_ReadFile(HANDLE hFile,LPVOID lpBuffer,DWORD nNumberOfBytesToRead,LPDWORD lpNumberOfBytesRead,LPOVERLAPPED lpOverlapped)
    
68. {
    
69.         BOOL ret = ((BOOL (WINAPI*)(HANDLE,LPVOID,DWORD,LPDWORD,LPOVERLAPPED))OLD_FUNCS[EReadFile])(hFile,lpBuffer,nNumberOfBytesToRead,
    
70.                 lpNumberOfBytesRead,lpOverlapped);
    
71.         if(hFile == hLogFile)
    
72.                 return ret;
    
73.         if(ret && currentpipe == hFile && nNumberOfBytesToRead)
    
74.         {
    
75.                 EnterCriticalSection(&cs);
    
76.                 __try
    
77.                 {
    
78.                         char output[65536]={0};
    
79.                         sprintf(output,"接收数据%d:\r\n",nNumberOfBytesToRead);
    
80.                         char buf[16];
    
81.                         for(int i=0;i<nNumberOfBytesToRead;i++)
    
82.                         {
    
83.                                 sprintf(buf,"%02X ",(int)((BYTE*)lpBuffer)[i]);
    
84.                                 strcat(output,buf);
    
85.                                 if((i%16) == 15)
    
86.                                         strcat(output,"\r\n");
    
87.                         }
    
88.                         strcat(output,"\r\n");
    
89. 
    
90.                         DWORD ret;
    
91.                         WriteFile(hDataFile,lpBuffer,nNumberOfBytesToRead,&ret,NULL);
    
92.                         WriteFile(hLogFile,output,strlen(output),&ret,NULL);
    
93.                         FlushFileBuffers(hLogFile);
    
94.                 }
    
95.                 __except(1)
    
96.                 {
    
97.                         MessageBoxA(NULL,"","",0);
    
98.                 }
    
99.                 LeaveCriticalSection(&cs);
    
100.         }
     
101.         return ret;
     
102. }
     
103. 
     
104. BOOL WINAPI NEW_WriteFile(HANDLE hFile,LPCVOID lpBuffer,DWORD nNumberOfBytesToWrite,LPDWORD lpNumberOfBytesWritten,LPOVERLAPPED lpOverlapped)
     
105. {
     
106.         BOOL ret = ((BOOL (WINAPI*)(HANDLE,LPCVOID,DWORD,LPDWORD,LPOVERLAPPED))OLD_FUNCS[EWriteFile])(hFile,lpBuffer,nNumberOfBytesToWrite,
     
107.                 lpNumberOfBytesWritten,lpOverlapped);
     
108.         if(hFile == hLogFile)
     
109.                 return ret;
     
110.         if(ret && currentpipe == hFile && nNumberOfBytesToWrite)
     
111.         {
     
112.                 EnterCriticalSection(&cs);
     
113.                 __try
     
114.                 {
     
115.                         char output[65536]={0};
     
116.                         sprintf(output,"发送数据%d:\r\n",nNumberOfBytesToWrite);
     
117.                         char buf[16];
     
118.                         for(int i=0;i<nNumberOfBytesToWrite;i++)
     
119.                         {
     
120.                                 sprintf(buf,"%02X ",(int)((BYTE*)lpBuffer)[i]);
     
121.                                 strcat(output,buf);
     
122.                                 if((i%16) == 15)
     
123.                                         strcat(output,"\r\n");
     
124.                         }
     
125.                         strcat(output,"\r\n");
     
126. 
     
127.                         DWORD ret;
     
128.                         WriteFile(hDataFile,lpBuffer,nNumberOfBytesToWrite,&ret,NULL);
     
129.                         WriteFile(hLogFile,output,strlen(output),&ret,NULL);
     
130.                         FlushFileBuffers(hLogFile);
     
131.                 }
     
132.                 __except(1)
     
133.                 {
     
134.                         MessageBoxA(NULL,"","",0);
     
135.                 }
     
136.                 LeaveCriticalSection(&cs);
     
137.         }
     
138.         return ret;
     
139. }
     
140. 
     
141. extern "C" __declspec(dllexport) void __cdecl Hook()
     
142. {
     
143.         DetourRestoreAfterWith();
     
144.         DetourTransactionBegin();
     
145.         DetourUpdateThread(GetCurrentThread());
     
146.         for (int i = 0; i < HookMax; i++)
     
147.         {
     
148.                 DetourAttach(&(PVOID&)OLD_FUNCS[i], NEW_FUNCS[i]);
     
149.         }
     
150.         DetourTransactionCommit();
     
151. }
     
152. 
     
153. extern "C" __declspec(dllexport) void __cdecl UnHook()
     
154. {
     
155.         DetourTransactionBegin();
     
156.         DetourUpdateThread(GetCurrentThread());
     
157.         for (int i = 0; i < HookMax; i++)
     
158.         {
     
159.                 DetourDetach(&(PVOID&)OLD_FUNCS[i], NEW_FUNCS[i]);
     
160.         }
     
161.         DetourTransactionCommit();
     
162. }
     
163. 
     
164. BOOL WINAPI DllMain(HINSTANCE hinstDLL, DWORD fdwReason, LPVOID lpReserved)
     
165. {
     
166.         switch (fdwReason)
     
167.         {
     
168.         case DLL_PROCESS_ATTACH:
     
169.                 {
     
170.                         hLogFile=CreateFileW(L"C:\\windbg_log.txt",GENERIC_WRITE,FILE_SHARE_READ|FILE_SHARE_WRITE,
     
171.                                 NULL,CREATE_ALWAYS,FILE_ATTRIBUTE_NORMAL,NULL);
     
172.                         hDataFile=CreateFileW(L"C:\\windbg_data.txt",GENERIC_WRITE,FILE_SHARE_READ|FILE_SHARE_WRITE,
     
173.                                 NULL,CREATE_ALWAYS,FILE_ATTRIBUTE_NORMAL,NULL);
     
174.                         Hook();
     
175.                         AllocConsole();
     
176.                         InitializeCriticalSection(&cs);
     
177.                         hOutputHandle = GetStdHandle(STD_OUTPUT_HANDLE);
     
178.                 }
     
179.                 break;
     
180.         case DLL_THREAD_ATTACH:
     
181.                 break;
     
182.         case DLL_THREAD_DETACH:
     
183.                 break;
     
184.         case DLL_PROCESS_DETACH:
     
185.                 {
     
186.                         UnHook();
     
187.                         FreeConsole();
     
188.                 }
     
189.                 break;
     
190.         }
     
191.         return TRUE;
     
192. }
     
193. 
     
194. 
     

复制代码

得到的数据包：
Offset      0  1  2  3  4  5  6  7   8  9  A  B  C  D  E  F

00000000   69 69 69 69 06 00 00 00  00 00 00 00 00 00 00 00   iiii            
00000010   69 69 69 69 06 00 00 00  00 00 00 00 00 00 00 00   iiii            
00000020   69 69 69 69 06 00 00 00  00 00 00 00 00 00 00 00   iiii            
00000030   69 69 69 69 06 00 00 00  00 00 00 00 00 00 00 00   iiii            
00000040   69 69 69 69 06 00 00 00  00 00 00 00 00 00 00 00   iiii            
00000050   30 30 30 07 00 0F 01 00  08 80 80 44 33 00 00 31   000      €€D3  1
00000060   30 00 00 00 00 00 00 01  00 00 00 00 00 00 00 40   0              @
00000070   37 55 80 FF FF FF FF C4  F4 52 80 FF FF FF FF 1F   7U€聂R€
00000080   00 00 00 00 00 00 00 00  80 4D 80 FF FF FF FF FF           €M€
00000090   FF FF FF 00 00 00 00 D3  50 20 00 80 84 1F 00 00       覲  €?  
000000A0   00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00                  
000000B0   00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00                  
000000C0   00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00                  
000000D0   00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00                  
000000E0   00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00                  
000000F0   00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00                  
00000100   00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00                  
00000110   00 00 00 00 00 00 00 10  00 00 00 BC FA 05 00 F0              贱  ?
00000120   0F FF FF 00 04 00 00 10  00 03 00 CC 5D C2 0C 00            蘛?
00000130   CC CC CC CC CC 8B FF 55  8B EC FF 08 00 23 00 23   烫烫虌U嬱  # #
00000140   00 30 00 82 00 00 00 00  00 00 00 00 00 00 00 5C    0 ?          \
00000150   57 49 4E 44 4F 57 53 5C  73 79 73 74 65 6D 33 32   WINDOWS\system32
00000160   5C 6E 74 6B 72 6E 6C 70  61 2E 65 78 65 00 AA 69   \ntkrnlpa.exe 猧
00000170   69 69 69 06 00 00 00 63  F8 05 00 00 00 00 00 30   iii    c?     0
00000180   30 30 30 07 00 0F 01 00  00 80 80 44 33 00 00 31   000      €€D3  1
00000190   30 00 00 00 00 00 00 01  00 00 00 00 00 00 00 40   0              @
000001A0   37 55 80 FF FF FF FF C4  F4 52 80 FF FF FF FF 1F   7U€聂R€
000001B0   00 00 00 00 00 00 00 00  80 4D 80 FF FF FF FF FF           €M€
000001C0   FF FF FF 00 00 00 00 D3  50 20 00 80 84 1F 00 00       覲  €?  
000001D0   00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00                  
000001E0   00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00                  
000001F0   00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00                  
00000200   00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00                  
00000210   00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00                  
00000220   00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00                  
00000230   00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00                  
00000240   00 00 00 00 00 00 00 10  00 00 00 BC FA 05 00 F0              贱  ?
00000250   0F FF FF 00 04 00 00 10  00 03 00 CC 5D C2 0C 00            蘛?
00000260   CC CC CC CC CC 8B FF 55  8B EC FF 08 00 23 00 23   烫烫虌U嬱  # #
00000270   00 30 00 82 00 00 00 00  00 00 00 00 00 00 00 5C    0 ?          \
00000280   57 49 4E 44 4F 57 53 5C  73 79 73 74 65 6D 33 32   WINDOWS\system32
00000290   5C 6E 74 6B 72 6E 6C 70  61 2E 65 78 65 00 AA 69   \ntkrnlpa.exe 猧
000002A0   69 69 69 04 00 00 00 00  00 80 80 00 00 00 00 30   iii      €€    0
000002B0   30 30 30 02 00 38 00 00  00 80 80 9C 0B 00 00 46   000  8   €€?  F
000002C0   31 00 00 80 F6 7D 07 03  01 00 00 F4 F6 7D 07 02   1  €鰙     赧}  
000002D0   BE B7 52 01 5E AE 52 07  00 00 00 01 00 00 00 00   痉R ^甊         
000002E0   00 00 00 02 00 00 00 11  BF B7 52 2C F7 7D 07 00           糠R,鱹  
000002F0   00 00 00 07 00 00 00 AA  69 69 69 04 00 00 00 00          猧ii     
00000300   00 80 80 00 00 00 00 30  30 30 30 02 00 38 00 01    €€    0000  8  
00000310   00 80 80 3F 17 00 00 46  31 00 00 80 F6 7D 07 00    €€?   F1  €鰙  
00000320   00 00 00 F4 F6 7D 07 0F  00 28 0A 06 00 02 00 4C      赧}   (     L
00000330   01 0C 03 2D 00 00 00 00  80 4D 80 FF FF FF FF C0      -    €M€?
00000340   4F 55 80 FF FF FF FF F4  8E 67 80 FF FF FF FF AA   OU€魩g€?
00000350   69 69 69 69 04 00 00 00  01 00 80 80 00 00 00 00   iiii      €€   
00000360   30 30 30 30 02 00 38 00  01 00 80 80 B1 13 00 00   0000  8   €€?  
00000370   30 31 00 00 FE FF FF FF  38 F6 7D 07 34 11 BC 77   01  ?8鰙 4 紈
00000380   F4 8E 67 80 FF FF FF FF  04 00 00 00 D4 F5 7D 07   魩g€    怎}
00000390   18 11 8D 07 38 00 00 00  38 00 00 00 03 00 00 00       8   8      
000003A0   E8 79 E1 00 03 00 00 00  AA 69 69 69 04 00 00 00   鑩?    猧ii   
000003B0   01 00 80 80 00 00 00 00  30 30 30 30 02 00 3C 00     €€    0000  <
000003C0   00 00 80 80 D4 11 00 00  30 31 00 00 FE FF FF FF     €€?  01  ?
000003D0   00 00 00 00 34 11 BC 77  F4 8E 67 80 FF FF FF FF       4 紈魩g€
000003E0   04 00 00 00 04 00 00 00  18 11 8D 07 38 00 00 00               8   
000003F0   38 00 00 00 03 00 00 00  E8 79 E1 00 03 00 00 00   8       鑩?   
00000400   E0 6A 54 80 AA 69 69 69  69 04 00 00 00 00 00 80   鄇T€猧iii      €
00000410   80 00 00 00 00 30 30 30  30 02 00 38 00 00 00 80   €    0000  8   €
00000420   80 E7 10 00 00 30 31 00  00 BA 02 00 00 48 F7 7D   €?  01  ?  H鱹
00000430   07 A0 74 C1 77 E0 6A 54  80 FF FF FF FF 18 00 00    爐羨鄇T€   
00000440   00 34 11 BC 77 20 00 00  00 28 00 00 00 A8 02 E1    4 紈    (   ??
00000450   00 5C EE 7D 07 50 00 00  00 20 00 00 00 AA 69 69    \題 P       猧i
00000460   69 04 00 00 00 00 00 80  80 00 00 00 00 30 30 30   i      €€    000
00000470   30 02 00 50 00 01 00 80  80 40 14 00 00 30 31 00   0  P   €€@   01
00000480   00 BA 02 00 00 00 00 00  00 A0 74 C1 77 E0 6A 54    ?      爐羨鄇T
00000490   80 FF FF FF FF 18 00 00  00 18 00 00 00 20 00 00   €           
000004A0   00 28 00 00 00 A8 02 E1  00 5C EE 7D 07 50 00 00    (   ??\題 P  
000004B0   00 20 00 00 00 F4 8E 67  80 F4 8E 67 80 00 00 00        魩g€魩g€   
000004C0   00 00 00 00 00 4B 44 42  47 90 02 00 00 AA 69 69        KDBG    猧i

分析过程：
windbg内核通信协议看起来比较复杂，常见的包为信息包和控制包、中断包
经过观察，有一些点需要注意：
1.管道读写，端口读写或者其他与内核通信的方式，有时候会缺失数据，比如本来是0x30303030的信息包，下面0x50处少一个0x30，现在的0x30是我后补上去的，编写通信模块需要注意这一部分
2.读写被调试主机传来的数据，用的是ReadFile/WriteFile，且很多时候是一个/若干个字节read/write一次，不明白为何这么低效！！！这样做就需要我们构建好数据包，再给数据包分析函数处理，主要是处理通信过程

API与结构体的映射：
DbgKdReadVirtualMemoryApi           0x00003130L      =>                ReadMemory
DbgKdWriteVirtualMemoryApi          0x00003131L      =>                WriteMemory
DbgKdGetContextApi                  0x00003132L      =>                null
DbgKdSetContextApi                  0x00003133L      =>                null
DbgKdWriteBreakPointApi             0x00003134L      =>                WriteBreakPoint
DbgKdRestoreBreakPointApi           0x00003135L      =>                RestoreBreakPoint
DbgKdContinueApi                    0x00003136L      =>                Continue
DbgKdReadControlSpaceApi            0x00003137L      =>                ReadMemory
DbgKdWriteControlSpaceApi           0x00003138L      =>                WriteMemory
DbgKdReadIoSpaceApi                 0x00003139L      =>                ReadWriteIo
DbgKdWriteIoSpaceApi                0x0000313AL      =>                ReadWriteIo
DbgKdRebootApi                      0x0000313BL      =>                null
DbgKdContinueApi2                   0x0000313CL      =>                Continue2
DbgKdReadPhysicalMemoryApi          0x0000313DL      =>                ReadMemory
DbgKdWritePhysicalMemoryApi         0x0000313EL      =>                WriteMemory
DbgKdQuerySpecialCallsApi           0x0000313FL      =>                QuerySpecialCalls
DbgKdSetSpecialCallApi              0x00003140L      =>                SetSpecialCall
DbgKdClearSpecialCallsApi           0x00003141L      =>                null
DbgKdSetInternalBreakPointApi       0x00003142L      =>                SetInternalBreakpoint
DbgKdGetInternalBreakPointApi       0x00003143L      =>                GetInternalBreakpoint
DbgKdReadIoSpaceExtendedApi         0x00003144L      =>                ReadWriteIoExtended
DbgKdWriteIoSpaceExtendedApi        0x00003145L      =>                ReadWriteIoExtended
DbgKdGetVersionApi                  0x00003146L      =>                GetVersion32
DbgKdWriteBreakPointExApi           0x00003147L      =>                BreakPointEx
DbgKdRestoreBreakPointExApi         0x00003148L      =>                null
DbgKdCauseBugCheckApi               0x00003149L      =>                null
DbgKdSwitchProcessor                0x00003150L      =>                null
DbgKdPageInApi                      0x00003151L      =>                null
DbgKdReadMachineSpecificRegister    0x00003152L      =>                ReadWriteMsr
DbgKdWriteMachineSpecificRegister   0x00003153L      =>                ReadWriteMsr
OldVlm1                             0x00003154L      =>                null
OldVlm2                             0x00003155L      =>                null
DbgKdSearchMemoryApi                0x00003156L      =>                SearchMemory
DbgKdGetBusDataApi                  0x00003157L      =>                null
DbgKdSetBusDataApi                  0x00003158L      =>                null
DbgKdCheckLowMemoryApi              0x00003159L      =>                null
DbgKdClearAllInternalBreakpointsApi 0x0000315AL      =>                null
DbgKdFillMemoryApi                  0x0000315BL      =>                null
DbgKdQueryMemoryApi                 0x0000315CL      =>                null
DbgKdSwitchPartition                0x0000315DL      =>                null       

typedef struct _DBGKD_ANY_WAIT_STATE_CHANGE
{
    ULONG NewState;
    USHORT ProcessorLevel;
    USHORT Processor;
    ULONG NumberProcessors;
    ULONG64 Thread;
    ULONG64 ProgramCounter;
    union
        {
        DBGKM_EXCEPTION64 Exception;
        DBGKD_LOAD_SYMBOLS64 LoadSymbols;
        DBGKD_COMMAND_STRING CommandString;
    } u;
    union
        {
        DBGKD_CONTROL_REPORT ControlReport;
        DBGKD_ANY_CONTROL_REPORT AnyControlReport;
    };
} DBGKD_ANY_WAIT_STATE_CHANGE, *PDBGKD_ANY_WAIT_STATE_CHANGE;

00000000   69 69 69 69 06 00 00 00  00 00 00 00 00 00 00 00   iiii                    发送复位控制包
00000010   69 69 69 69 06 00 00 00  00 00 00 00 00 00 00 00   iiii                    发送复位控制包
00000020   69 69 69 69 06 00 00 00  00 00 00 00 00 00 00 00   iiii                    发送复位控制包
00000030   69 69 69 69 06 00 00 00  00 00 00 00 00 00 00 00   iiii                    发送复位控制包
00000040   69 69 69 69 06 00 00 00  00 00 00 00 00 00 00 00   iiii                    发送复位控制包
00000050   30 30 30 30 07 00 0F 01  00 08 80 80 44 33 00 00   0000      €€D3          接收DBGKD_ANY_WAIT_STATE_CHANGE信息包，长度0x10F
00000060   31 30 00 00 00 00 00 00  01 00 00 00 00 00 00 00   10                      包开始：NewState=DbgKdLoadSymbolsStateChange
00000070   40 37 55 80 FF FF FF FF  C4 F4 52 80 FF FF FF FF   @7U€聂R€
00000080   1F 00 00 00 00 00 00 00  00 80 4D 80 FF FF FF FF            €M€
00000090   FF FF FF FF 00 00 00 00  D3 50 20 00 80 84 1F 00       覲  €?
000000A0   00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00                  
000000B0   00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00                  
000000C0   00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00                  
000000D0   00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00                  
000000E0   00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00                  
000000F0   00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00                  
00000100   00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00                  
00000110   00 00 00 00 00 00 00 00  10 00 00 00 BC FA 05 00               贱  
00000120   F0 0F FF FF 00 04 00 00  10 00 03 00 CC 5D C2 0C   ?        蘛?
00000130   00 CC CC CC CC CC 8B FF  55 8B EC FF 08 00 23 00    烫烫虌U嬱  #
00000140   23 00 30 00 82 00 00 00  00 00 00 00 00 00 00 00   # 0 ?         
00000150   5C 57 49 4E 44 4F 57 53  5C 73 79 73 74 65 6D 33   \WINDOWS\system3        包以0xAA结束，然而由于0x50处原先少一个0x30
00000160   32 5C 6E 74 6B 72 6E 6C  70 61 2E 65 78 65 00 AA   2\ntkrnlpa.exe ?        (为了方便查看，我补上了缺少的0x30)
00000170   69 69 69 69 06 00 00 00  63 F8 05 00 00 00 00 00   iiii    c?             接收请求重新连接信息包
00000180   30 30 30 30 07 00 0F 01  00 00 80 80 44 33 00 00   0000      €€D3    接收PACKET_TYPE_KD_STATE_CHANGE64信息包，长度0x10F
00000190   31 30 00 00 00 00 00 00  01 00 00 00 00 00 00 00   10                                包开始：NewState=DbgKdLoadSymbolsStateChange
000001A0   40 37 55 80 FF FF FF FF  C4 F4 52 80 FF FF FF FF   @7U€聂R€ETHREAD=0xFFFFFFFF80553740 BaseAddr=0xFFFFFFFF8052F4C4
000001B0   1F 00 00 00 00 00 00 00  00 80 4D 80 FF FF FF FF            €M€映像路径长度0x1F        Dll基址=0xFFFFFFFF804D8000
000001C0   FF FF FF FF 00 00 00 00  D3 50 20 00 80 84 1F 00       覲  € 进程ID=-1        映像大小=0x1F8480
000001D0   00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00                  
000001E0   00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00                  
000001F0   00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00              

00000200   00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00                  
00000210   00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00                  
00000220   00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00                  
00000230   00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00                  
00000240   00 00 00 00 00 00 00 00  10 00 00 00 BC FA 05 00               贱  
00000250   F0 0F FF FF 00 04 00 00  10 00 03 00 CC 5D C2 0C   ?        蘛?
00000260   00 CC CC CC CC CC 8B FF  55 8B EC FF 08 00 23 00    烫烫虌U嬱  #
00000270   23 00 30 00 82 00 00 00  00 00 00 00 00 00 00 00   # 0 ?         
00000280   5C 57 49 4E 44 4F 57 53  5C 73 79 73 74 65 6D 33   \WINDOWS\system3
00000290   32 5C 6E 74 6B 72 6E 6C  70 61 2E 65 78 65 00 AA   2\ntkrnlpa.exe ?        包结束
000002A0   69 69 69 69 04 00 00 00  00 00 80 80 00 00 00 00   iiii      €€      发送上次接收信息的确认包
000002B0   30 30 30 30 02 00 38 00  00 00 80 80 9C 0B 00 00   0000  8   €€?     发送读取版本控制信息包 DbgKdGetVersionApi，长度0x38
000002C0   46 31 00 00 80 F6 7D 07  03 01 00 00 F4 F6 7D 07   F1  €鰙     赧}   包开始
000002D0   02 BE B7 52 01 5E AE 52  07 00 00 00 01 00 00 00    痉R ^甊        
000002E0   00 00 00 00 02 00 00 00  11 BF B7 52 2C F7 7D 07            糠R,鱹
000002F0   00 00 00 00 07 00 00 00  AA 00 00 00 00 00 00 00           ?              包结束
00000300   69 69 69 69 04 00 00 00  00 00 80 80 00 00 00 00   iiii      €€            接收到服务器收到信息的确认包
00000310   30 30 30 30 02 00 38 00  01 00 80 80 3F 17 00 00   0000  8   €€?           接收读取版本控制信息包 DbgKdGetVersionApi，长度0x38
00000320   46 31 00 00 80 F6 7D 07  00 00 00 00 F4 F6 7D 07   F1  €鰙     赧}         包开始
00000330   0F 00 28 0A 06 00 02 00  4C 01 0C 03 2D 00 00 00     (     L   -   
00000340   00 80 4D 80 FF FF FF FF  C0 4F 55 80 FF FF FF FF    €M€繭U€PsLoadedModuleList=0xFFFFFFFF80554FC0        DebuggerDataList=0xFFFFFFFF80678EF4
00000350   F4 8E 67 80 FF FF FF FF  AA 00 00 00 00 00 00 00   魩g€?     包结束
00000360   69 69 69 69 04 00 00 00  01 00 80 80 00 00 00 00   iiii      €€            发送上次接收信息的确认包
00000370   30 30 30 30 02 00 38 00  01 00 80 80 B1 13 00 00   0000  8   €€?          发送读取内存控制信息包 DbgKdReadVirutalMemoryApi，长度0x38
00000380   30 31 00 00 FE FF FF FF  38 F6 7D 07 34 11 BC 77   01  ?8鰙 4 紈        包开始
00000390   F4 8E 67 80 FF FF FF FF  04 00 00 00 D4 F5 7D 07   魩g€      读取0x80678EF4处4字节
000003A0   18 11 8D 07 38 00 00 00  38 00 00 00 03 00 00 00       8   8              
000003B0   E8 79 E1 00 03 00 00 00  AA 00 00 00 00 00 00 00   鑩?    ?              包结束
000003C0   69 69 69 69 04 00 00 00  01 00 80 80 00 00 00 00   iiii      €€            接收到服务器收到信息的确认包
000003D0   30 30 30 30 02 00 3C 00  00 00 80 80 D4 11 00 00   0000  <   €€?          接收内存控制信息包 DbgKdReadVirutalMemoryApi，长度0x3C
000003E0   30 31 00 00 FE FF FF FF  00 00 00 00 34 11 BC 77   01  ?    4 紈        包开始
000003F0   F4 8E 67 80 FF FF FF FF  04 00 00 00 04 00 00 00   魩g€   

00000400   18 11 8D 07 38 00 00 00  38 00 00 00 03 00 00 00       8   8      
00000410   E8 79 E1 00 03 00 00 00  E0 6A 54 80 AA 00 00 00   鑩?    鄇T€?          包结束，读取得到E0 6A 54 80
00000420   69 69 69 69 04 00 00 00  00 00 80 80 00 00 00 00   iiii      €€            发送上次接收信息的确认包
00000430   30 30 30 30 02 00 38 00  00 00 80 80 E7 10 00 00   0000  8   €€?          发送读取内存控制信息包 DbgKdReadVirutalMemoryApi，长度0x38
00000440   30 31 00 00 BA 02 00 00  48 F7 7D 07 A0 74 C1 77   01  ?  H鱹 爐羨        包开始
00000450   E0 6A 54 80 FF FF FF FF  18 00 00 00 34 11 BC 77   鄇T€    4 读取0x80546AE0处0x18字节(DBGKD_DEBUG_DATA_HEADER64)
00000460   20 00 00 00 28 00 00 00  A8 02 E1 00 5C EE 7D 07       (   ??\題
00000470   50 00 00 00 20 00 00 00  AA 00 00 00 00 00 00 00   P       ?              包结束
00000480   69 69 69 69 04 00 00 00  00 00 80 80 00 00 00 00   iiii      €€            接收到服务器收到信息的确认包
00000490   30 30 30 30 02 00 50 00  01 00 80 80 40 14 00 00   0000  P   €€@           接收内存控制信息包 DbgKdReadVirutalMemoryApi，长度0x50
000004A0   30 31 00 00 BA 02 00 00  00 00 00 00 A0 74 C1 77   01  ?      爐羨        包开始
000004B0   E0 6A 54 80 FF FF FF FF  18 00 00 00 18 00 00 00   鄇T€        
000004C0   20 00 00 00 28 00 00 00  A8 02 E1 00 5C EE 7D 07       (   ??\題
000004D0   50 00 00 00 20 00 00 00  F4 8E 67 80 F4 8E 67 80   P       魩g€魩g€
000004E0   00 00 00 00 00 00 00 00  4B 44 42 47 90 02 00 00           KDBG            读取得到F4 8E 67 80 F4 8E 67 80 00 00 00 00 00 00 00 00 4B 44 42 47 90 02 00 00
000004F0   AA 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00   ?                      包结束
00000500   69 69 69 69 04 00 00 00  01 00 80 80 00 00 00 00   iiii      €€            发送上次接收信息的确认包
00000510   30 30 30 30 02 00 38 00  01 00 80 80 02 1A 00 00   0000  8   €€            发送读取内存控制信息包 DbgKdReadVirutalMemoryApi，长度0x38
00000520   30 31 00 00 05 00 00 00  00 EF 7D 07 34 11 BC 77   01       飣 4 紈        包开始
00000530   F8 6A 54 80 FF FF FF FF  78 02 00 00 FE FF FF FF   鴍T€x   ?        读取0x80546AF8处0x278字节  0x80546AE0整个是KDDEBUGGER_DATA64结构
00000540   D8 EE 7D 07 AA 1E BC 77  00 00 00 00 E8 DE E1 00   仡} ?紈    柁?
00000550   B8 DE E1 00 E8 DE E1 00  AA 00 00 00 00 00 00 00   皋?柁??                      包结束
00000560   69 69 69 69 04 00 00 00  01 00 80 80 00 00 00 00   iiii      €€            接收到服务器收到信息的确认包
00000570   30 30 30 30 02 00 B0 02  00 00 80 80 80 97 00 00   0000  ?  €€€?         接收内存控制信息包 DbgKdReadVirutalMemoryApi，长度0x2B0
00000580   30 31 00 00 05 00 00 00  00 00 00 00 34 11 BC 77   01          4 紈        包开始
00000590   F8 6A 54 80 FF FF FF FF  78 02 00 00 78 02 00 00   鴍T€x   x   
000005A0   D8 EE 7D 07 AA 1E BC 77  00 00 00 00 E8 DE E1 00   仡} ?紈    柁?
000005B0   B8 DE E1 00 E8 DE E1 00  00 80 4D 80 00 00 00 00   皋?柁? €M€            有效数据开始 00 80 4D 80 00 00 00 0
000005C0   DC 8B 52 80 00 00 00 00  00 00 00 00 00 00 00 00   軏R€            
000005D0   2C 01 08 00 18 00 01 00  8C 06 50 80 00 00 00 00   ,       ?P€   
000005E0   00 00 00 00 00 00 00 00  C0 4F 55 80 00 00 00 00           繭U€   
000005F0   58 B1 55 80 00 00 00 00  60 B2 55 80 00 00 00 00   X盪€    `睻€        

00000600   88 D6 55 80 00 00 00 00  20 C5 55 80 00 00 00 00   堉U€     臮€   
00000610   AC BA 54 80 00 00 00 00  1C 3F 55 80 00 00 00 00   T€     ?U€   
00000620   F8 3F 55 80 00 00 00 00  40 49 55 80 00 00 00 00   ?U€    @IU€   
00000630   C0 28 FF FF 00 04 00 00  10 00 03 00 CC 5D C2 0C   ?        蘛?
00000640   00 CC CC CC CC CC 8B FF  55 8B EC FF 08 00 23 00    烫烫虌U嬱  #
00000650   23 00 30 00 82 00 00 00  00 00 00 00 00 00 00 00   # 0 ?         
00000660   5C 57 49 4E 44 4F 57 53  5C 73 79 73 74 65 6D 33   \WINDOWS\system3
00000670   32 5C 6E 74 6B 72 6E 6C  70 61 2E 65 78 65 00 33   2\ntkrnlpa.exe 3
00000680   32 5C 6E 74 6B 72 6E 6C  70 61 2E 65 78 65 00 00   2\ntkrnlpa.exe         
00000690   00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00                  
000006A0   00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00                  
000006B0   00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00                  
000006C0   00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00                  
000006D0   00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00                  
000006E0   00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00                  
000006F0   00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00                  
00000700   00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00                  
00000710   00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00                  
00000720   00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00                  
00000730   00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00                  
00000740   00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00                  
00000750   00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00                  
00000760   00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00                  
00000770   00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00                  
00000780   00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00                  
00000790   00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00                  
000007A0   00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00                  
000007B0   00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00                  
000007C0   00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00                  
000007D0   00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00                  
000007E0   00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00                  
000007F0   00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00   
               
00000800   00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00                  
00000810   00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00                  
00000820   00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00                           有效数据结束，然而没有遇到0xAA，所以一直等待
。。。。。。。。。。。。。。。。。。。。。。。。。。。。。  
00002E60   00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 AA                  ?        结束符0xAA
00002E70   69 69 69 69 04 00 00 00  00 00 80 80 00 00 00 00   iiii      €€            发送上次接收信息的确认包
00002E80   30 30 30 30 02 00 38 00  00 00 80 80 74 0E 00 00   0000  8   €€t           发送读取内存控制信息包 DbgKdReadVirutalMemoryApi，长度0x38
00002E90   30 31 00 00 00 00 00 00  48 F7 7D 07 A0 74 C1 77   01      H鱹 爐羨        包开始
00002EA0   5C 8C 4D 80 FF FF FF FF  05 01 00 00 34 11 BC 77   \孧€    4        读取0x804D8C5C处0x105大小的数据
00002EB0   0D 01 00 00 18 01 00 00  20 03 E1 00 24 EB 7D 07             ?$雧
00002EC0   05 04 00 00 0D 01 00 00  AA 00 00 00 00 00 00 00           ?      
00002ED0   69 69 69 69 04 00 00 00  00 00 80 80 00 00 00 00   iiii      €€            接收到服务器收到信息的确认包
00002EE0   30 30 30 30 02 00 3D 01  01 00 80 80 A9 75 00 00   0000  =   €€﹗          接收内存控制信息包 DbgKdReadVirutalMemoryApi，长度0x13D
00002EF0   30 31 00 00 00 00 00 00  00 00 00 00 A0 74 C1 77   01          爐羨        包开始
00002F00   5C 8C 4D 80 FF FF FF FF  05 01 00 00 05 01 00 00   \孧€        
00002F10   0D 01 00 00 18 01 00 00  20 03 E1 00 24 EB 7D 07             ?$雧
00002F20   05 04 00 00 0D 01 00 00  32 36 30 30 2E 78 70 73           2600.xps
00002F30   70 2E 30 38 30 34 31 33  2D 32 31 31 31 00 00 00   p.080413-2111   
00002F40   00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00                  
00002F50   28 73 2A C1 1F F8 D2 11  BA 4B 00 A0 C9 3E C9 3B   (s*? 篕 犐>?
00002F60   16 E3 C9 E3 5C 0B B8 4D  81 7D F9 2D F0 02 15 AE    闵鉢 窶 }?? ?
00002F70   A2 A0 D0 EB E5 B9 33 44  87 C0 68 B6 B7 26 99 C7   须骞3D嚴h斗&櫱
00002F80   AA C8 08 58 8F 7E E0 42  85 D2 E1 E9 04 34 CF B3    X ~郆呉衢 4铣
00002F90   A0 60 9B AF 31 14 62 00  78 A7 55 80 00 00 00 00   燻洴1 b x€   
00002FA0   70 A7 55 80 00 00 00 00  90 B1 54 80 00 00 00 00   p€     盩€   
00002FB0   68 97 55 80 00 00 00 00  80 97 55 80 00 00 00 00   h桿€    €桿€   
00002FC0   68 99 55 80 00 00 00 00  E8 4B 55 80 00 00 00 00   h橴€    鐺U€   
00002FD0   E0 4B 55 80 00 00 00 00  78 4F 55 80 00 00 00 00   郖U€    xOU€   
00002FE0   00 95 55 80 00 00 00 00  BC B0 54 80 00 00 00 00    昒€    及T€   
00002FF0   C4 99 55 80 00 00 00 00  C8 99 55 80 00 00 00 00   臋U€    葯U€     

00003000   EC 97 55 80 00 00 00 00  20 99 55 80 00 00 00 00   鞐U€     橴€   
00003010   38 4C 55 80 00 00 00 00  78 B5 54 80 00 00 00 00   8LU€    x礣€   
00003020   7C B5 54 80 00 00 00 00  34 4C 55 80 00 4F BC 68   |礣€    4LU€ O糷
00003030   33 11 71 4A 69 AD C1 1F  DD 6B 00 00 00            3 qJi 輐                   包结束，然而等待0xAA标志
。。。。。。。。。。。。。。。。。。。。。。。。。。。。。。
000034C0   00 2B AA 00 00 00 00 00  00 00 00 00 00 00 00 00    +?                    0xAA标志
000034D0   69 69 69 69 04 00 00 00  01 00 80 80 00 00 00 00   iiii      €€   
000034E0   30 30 30 30 02 00 38 00  01 00 80 80 67 11 00 00   0000  8   €€g   
000034F0   30 31 00 00 58 A9 B1 52  44 F4 7D 07 A0 74 C1 77   01  X┍RD魙 爐羨

Golden Blonde

非常佩服你的逆向能力。BAIDU给你那点钱真是低估你了。我觉得你在内核方面多修炼一年可以直接提出2X的工资。

元始天尊

此代码不稳定，可以测得写入数据，读取数据应该是采用了异步方式因此数据不正确

1. 
   
2. // WinDbgSpyDlg.cpp : 实现文件
   
3. //
   
4. 
   
5. #include "stdafx.h"
   
6. #include "WinDbgSpy.h"
   
7. #include "WinDbgSpyDlg.h"
   
8. #include "afxdialogex.h"
   
9. 
   
10. #include <tlhelp32.h>
    
11. #include <shlwapi.h>
    
12. #include <windows.h>
    
13. #pragma comment(lib,"shlwapi.lib")
    
14. 
    
15. #ifdef _DEBUG
    
16. #define new DEBUG_NEW
    
17. #endif
    
18. 
    
19. 
    
20. // 用于应用程序“关于”菜单项的 CAboutDlg 对话框
    
21. 
    
22. class CAboutDlg : public CDialogEx
    
23. {
    
24. public:
    
25.         CAboutDlg();
    
26. 
    
27. // 对话框数据
    
28.         enum { IDD = IDD_ABOUTBOX };
    
29. 
    
30.         protected:
    
31.         virtual void DoDataExchange(CDataExchange* pDX);    // DDX/DDV 支持
    
32. 
    
33. // 实现
    
34. protected:
    
35.         DECLARE_MESSAGE_MAP()
    
36. };
    
37. 
    
38. CAboutDlg::CAboutDlg() : CDialogEx(CAboutDlg::IDD)
    
39. {
    
40. }
    
41. 
    
42. void CAboutDlg::DoDataExchange(CDataExchange* pDX)
    
43. {
    
44.         CDialogEx::DoDataExchange(pDX);
    
45. }
    
46. 
    
47. BEGIN_MESSAGE_MAP(CAboutDlg, CDialogEx)
    
48. END_MESSAGE_MAP()
    
49. 
    
50. 
    
51. // CWinDbgSpyDlg 对话框
    
52. 
    
53. 
    
54. 
    
55. 
    
56. CWinDbgSpyDlg::CWinDbgSpyDlg(CWnd* pParent /*=NULL*/)
    
57.         : CDialogEx(CWinDbgSpyDlg::IDD, pParent)
    
58.         , m_content(_T(""))
    
59. {
    
60.         m_hIcon = AfxGetApp()->LoadIcon(IDR_MAINFRAME);
    
61. }
    
62. 
    
63. void CWinDbgSpyDlg::DoDataExchange(CDataExchange* pDX)
    
64. {
    
65.         CDialogEx::DoDataExchange(pDX);
    
66.         DDX_Text(pDX, IDC_CONTENT, m_content);
    
67.         DDX_Control(pDX, IDC_MSGLIST, m_msglist);
    
68. }
    
69. 
    
70. BEGIN_MESSAGE_MAP(CWinDbgSpyDlg, CDialogEx)
    
71.         ON_WM_SYSCOMMAND()
    
72.         ON_WM_PAINT()
    
73.         ON_WM_QUERYDRAGICON()
    
74.         ON_WM_TIMER()
    
75.         ON_LBN_SELCHANGE(IDC_MSGLIST, &CWinDbgSpyDlg::OnLbnSelchangeMsglist)
    
76. END_MESSAGE_MAP()
    
77. 
    
78. // CWinDbgSpyDlg 消息处理程序
    
79. 
    
80. 
    
81. 
    
82. void CWinDbgSpyDlg::OnSysCommand(UINT nID, LPARAM lParam)
    
83. {
    
84.         if ((nID & 0xFFF0) == IDM_ABOUTBOX)
    
85.         {
    
86.                 CAboutDlg dlgAbout;
    
87.                 dlgAbout.DoModal();
    
88.         }
    
89.         else
    
90.         {
    
91.                 CDialogEx::OnSysCommand(nID, lParam);
    
92.         }
    
93. }
    
94. 
    
95. // 如果向对话框添加最小化按钮，则需要下面的代码
    
96. //  来绘制该图标。对于使用文档/视图模型的 MFC 应用程序，
    
97. //  这将由框架自动完成。
    
98. 
    
99. void CWinDbgSpyDlg::OnPaint()
    
100. {
     
101.         if (IsIconic())
     
102.         {
     
103.                 CPaintDC dc(this); // 用于绘制的设备上下文
     
104. 
     
105.                 SendMessage(WM_ICONERASEBKGND, reinterpret_cast<WPARAM>(dc.GetSafeHdc()), 0);
     
106. 
     
107.                 // 使图标在工作区矩形中居中
     
108.                 int cxIcon = GetSystemMetrics(SM_CXICON);
     
109.                 int cyIcon = GetSystemMetrics(SM_CYICON);
     
110.                 CRect rect;
     
111.                 GetClientRect(&rect);
     
112.                 int x = (rect.Width() - cxIcon + 1) / 2;
     
113.                 int y = (rect.Height() - cyIcon + 1) / 2;
     
114. 
     
115.                 // 绘制图标
     
116.                 dc.DrawIcon(x, y, m_hIcon);
     
117.         }
     
118.         else
     
119.         {
     
120.                 CDialogEx::OnPaint();
     
121.         }
     
122. }
     
123. 
     
124. //当用户拖动最小化窗口时系统调用此函数取得光标
     
125. //显示。
     
126. HCURSOR CWinDbgSpyDlg::OnQueryDragIcon()
     
127. {
     
128.         return static_cast<HCURSOR>(m_hIcon);
     
129. }
     
130. 
     
131. char apiname[][256]=
     
132. {
     
133.         "DbgKdReadVirtualMemoryApi          ",
     
134.         "DbgKdWriteVirtualMemoryApi         ",
     
135.         "DbgKdGetContextApi                 ",
     
136.         "DbgKdSetContextApi                 ",
     
137.         "DbgKdWriteBreakPointApi            ",
     
138.         "DbgKdRestoreBreakPointApi          ",
     
139.         "DbgKdContinueApi                   ",
     
140.         "DbgKdReadControlSpaceApi           ",
     
141.         "DbgKdWriteControlSpaceApi          ",
     
142.         "DbgKdReadIoSpaceApi                ",
     
143.         "DbgKdWriteIoSpaceApi               ",
     
144.         "DbgKdRebootApi                     ",
     
145.         "DbgKdContinueApi2                  ",
     
146.         "DbgKdReadPhysicalMemoryApi         ",
     
147.         "DbgKdWritePhysicalMemoryApi        ",
     
148.         "DbgKdQuerySpecialCallsApi          ",
     
149.         "DbgKdSetSpecialCallApi             ",
     
150.         "DbgKdClearSpecialCallsApi          ",
     
151.         "DbgKdSetInternalBreakPointApi      ",
     
152.         "DbgKdGetInternalBreakPointApi      ",
     
153.         "DbgKdReadIoSpaceExtendedApi        ",
     
154.         "DbgKdWriteIoSpaceExtendedApi       ",
     
155.         "DbgKdGetVersionApi                 ",
     
156.         "DbgKdWriteBreakPointExApi          ",
     
157.         "DbgKdRestoreBreakPointExApi        ",
     
158.         "DbgKdCauseBugCheckApi              ",
     
159.         "DbgKdSwitchProcessor               ",
     
160.         "DbgKdPageInApi                     ",
     
161.         "DbgKdReadMachineSpecificRegister   ",
     
162.         "DbgKdWriteMachineSpecificRegister  ",
     
163.         "OldVlm1                            ",
     
164.         "OldVlm2                            ",
     
165.         "DbgKdSearchMemoryApi               ",
     
166.         "DbgKdGetBusDataApi                 ",
     
167.         "DbgKdSetBusDataApi                 ",
     
168.         "DbgKdCheckLowMemoryApi             ",
     
169.         "DbgKdClearAllInternalBreakpointsApi",
     
170.         "DbgKdFillMemoryApi                 ",
     
171.         "DbgKdQueryMemoryApi                ",
     
172.         "DbgKdSwitchPartition               ",
     
173. };
     
174. 
     
175. 
     
176. BOOL CWinDbgSpyDlg::OnInitDialog()
     
177. {
     
178.         CDialogEx::OnInitDialog();
     
179. 
     
180.         ASSERT((IDM_ABOUTBOX & 0xFFF0) == IDM_ABOUTBOX);
     
181.         ASSERT(IDM_ABOUTBOX < 0xF000);
     
182. 
     
183.         CMenu* pSysMenu = GetSystemMenu(FALSE);
     
184.         if (pSysMenu != NULL)
     
185.         {
     
186.                 BOOL bNameValid;
     
187.                 CString strAboutMenu;
     
188.                 bNameValid = strAboutMenu.LoadString(IDS_ABOUTBOX);
     
189.                 ASSERT(bNameValid);
     
190.                 if (!strAboutMenu.IsEmpty())
     
191.                 {
     
192.                         pSysMenu->AppendMenu(MF_SEPARATOR);
     
193.                         pSysMenu->AppendMenu(MF_STRING, IDM_ABOUTBOX, strAboutMenu);
     
194.                 }
     
195.         }
     
196. 
     
197.         SetIcon(m_hIcon, TRUE);                        // 设置大图标
     
198.         SetIcon(m_hIcon, FALSE);                // 设置小图标
     
199. 
     
200.         InitOk = FALSE;
     
201.         SetTimer(0,100,NULL);
     
202.         int MapSize=0x1000000;
     
203.         do
     
204.         {
     
205.                 hMapRead = CreateFileMappingA(INVALID_HANDLE_VALUE,NULL,PAGE_READWRITE,0,MapSize,"WDBGMAPREAD");
     
206.                 if(hMapRead == NULL)
     
207.                         break;
     
208.                 lpBufRead = MapViewOfFile(hMapRead,FILE_MAP_READ|FILE_MAP_WRITE,0,0,MapSize);//预留16M容量满则清理
     
209.                 if(lpBufRead == NULL)
     
210.                         break;
     
211.                 hMapWrite = CreateFileMappingA(INVALID_HANDLE_VALUE,NULL,PAGE_READWRITE,0,MapSize,"WDBGMAPWRITE");
     
212.                 if(hMapWrite == NULL)
     
213.                         break;
     
214.                 lpBufWrite = MapViewOfFile(hMapWrite,FILE_MAP_READ|FILE_MAP_WRITE,0,0,MapSize);//预留16M容量满则清理
     
215.                 if(lpBufWrite == NULL)
     
216.                         break;
     
217.                 hEvent = CreateEventA(NULL,FALSE,TRUE,"WDBGEVENT");
     
218.                 memset(lpBufRead,0,MapSize);memset(lpBufWrite,0,MapSize);
     
219.                 MAPOBJ* Ptr = (MAPOBJ*)lpBufRead;
     
220.                 Ptr->ReadOffset = sizeof(MAPOBJ);
     
221.                 Ptr->WriteOffset = sizeof(MAPOBJ);
     
222.                 Ptr->MaxOffset = MapSize;
     
223.                 Ptr = (MAPOBJ*)lpBufWrite;
     
224.                 Ptr->ReadOffset = sizeof(MAPOBJ);
     
225.                 Ptr->WriteOffset = sizeof(MAPOBJ);
     
226.                 Ptr->MaxOffset = MapSize;
     
227.                 InitOk = TRUE;
     
228. 
     
229.                 //注入
     
230.                 PROCESSENTRY32 pe32;
     
231.                 HANDLE hProcessSnap = CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS, 0);
     
232.                 if(hProcessSnap != INVALID_HANDLE_VALUE)
     
233.                 {
     
234.                         pe32.dwSize = sizeof(pe32);
     
235.                         if(Process32First(hProcessSnap,&pe32))
     
236.                         {
     
237.                                 do
     
238.                                 {
     
239.                                         if(StrStrIA(pe32.szExeFile,"windbg.exe"))
     
240.                                         {
     
241.                                                 char str[]="e:\\Projects\\WinDbgSpy\\Debug\\WinDbgMon.dll";
     
242.                                                 HANDLE hProcess = OpenProcess(PROCESS_ALL_ACCESS, FALSE, pe32.th32ProcessID);
     
243.                                                 LPVOID dllname = VirtualAllocEx(hProcess, NULL, 256, MEM_COMMIT, PAGE_READWRITE);
     
244.                                                 WriteProcessMemory(hProcess, dllname, str, sizeof(str), NULL);
     
245.                                                 HANDLE hthread = CreateRemoteThread(hProcess, NULL, 0, (LPTHREAD_START_ROUTINE)LoadLibraryA, dllname, 0, NULL);
     
246.                                                 WaitForSingleObject(hthread, INFINITE);
     
247.                                                 CloseHandle(hthread);
     
248.                                                 CloseHandle(hProcess);
     
249.                                         }
     
250.                                 } while (Process32Next(hProcessSnap,&pe32));
     
251.                         }
     
252.                         CloseHandle(hProcessSnap);
     
253.                 }
     
254.         } while (0);
     
255. 
     
256.         return TRUE;  // 除非将焦点设置到控件，否则返回 TRUE
     
257. }
     
258. 
     
259. BOOL CWinDbgSpyDlg::DestroyWindow()
     
260. {
     
261.         if(lpBufRead)
     
262.                 UnmapViewOfFile(lpBufRead);
     
263.         if(lpBufWrite)
     
264.                 UnmapViewOfFile(lpBufWrite);
     
265.         if(hMapRead)
     
266.                 CloseHandle(hMapRead);
     
267.         if(hMapWrite)
     
268.                 CloseHandle(hMapWrite);
     
269.         KillTimer(0);
     
270.         return CDialogEx::DestroyWindow();
     
271. }
     
272. 
     
273. void CWinDbgSpyDlg::OnTimer(UINT_PTR nIDEvent)
     
274. {
     
275.         if(!InitOk)
     
276.                 return;
     
277.         if (WAIT_OBJECT_0 == WaitForSingleObject(hEvent,100))
     
278.         {
     
279.                 MAPOBJ* mapobj1 = (MAPOBJ*)lpBufRead;
     
280.                 MAPOBJ* mapobj2 = (MAPOBJ*)lpBufWrite;
     
281.                 volatile int end1 = mapobj1->WriteOffset;
     
282.                 volatile int end2 = mapobj2->WriteOffset;
     
283.                 if(mapobj1->ReadOffset + sizeof(KD_PACKET) < end1)
     
284.                 {
     
285.                         FlushViewOfFile((BYTE*)mapobj1+mapobj1->ReadOffset,mapobj1->WriteOffset - mapobj1->ReadOffset);
     
286.                         int origin = mapobj1->ReadOffset;
     
287.                         if(!ProcessPacket(mapobj1, true, end1))
     
288.                                 mapobj1->ReadOffset = origin;
     
289.                 }
     
290.                 if(mapobj2->ReadOffset + sizeof(KD_PACKET) < end2)
     
291.                 {
     
292.                         int origin = mapobj2->ReadOffset;
     
293.                         if(!ProcessPacket(mapobj2, false, end2))
     
294.                                 mapobj2->ReadOffset = origin;
     
295.                 }
     
296.                 SetEvent(hEvent);
     
297.         }
     
298. 
     
299. 
     
300.         CDialogEx::OnTimer(nIDEvent);
     
301. }
     
302. 
     
303. bool CWinDbgSpyDlg::ProcessPacket(MAPOBJ* mapobj, bool isreceive, int end)
     
304. {
     
305.         int curbyte=GetByte(mapobj);//尝试读取一个字节，同步导引包
     
306.         switch(curbyte)
     
307.         {
     
308.         case BREAKIN_PACKET_BYTE:
     
309.                 return TryReceiveBreakInPacket(mapobj, isreceive);
     
310.                 break;
     
311.         case PACKET_LEADER_BYTE:
     
312.                 return TryReceiveInfoPacket(mapobj, isreceive);//尝试读取信息包
     
313.                 break;
     
314.         case CONTROL_PACKET_LEADER_BYTE:
     
315.                 return TryReceiveControlPacket(mapobj, isreceive);//尝试读取控制包
     
316.                 break;
     
317.         default:
     
318.                 {
     
319.                         while(mapobj->ReadOffset + sizeof(KD_PACKET) < end)
     
320.                         {
     
321.                                 mapobj->ReadOffset++;
     
322.                                 int curbyte = *((BYTE*)mapobj+mapobj->ReadOffset);
     
323.                                 if(curbyte == BREAKIN_PACKET_BYTE || curbyte == PACKET_LEADER_BYTE || curbyte == CONTROL_PACKET_LEADER_BYTE)
     
324.                                 {
     
325.                                         BYTE* begin = (BYTE*)mapobj+mapobj->ReadOffset;
     
326.                                         if(begin[0] == begin[1] && begin[1] == begin[2])
     
327.                                                 return true;
     
328.                                 }
     
329.                         }
     
330.                         break;
     
331.                 }
     
332.         }
     
333.         return false;
     
334. }
     
335. 
     
336. int CWinDbgSpyDlg::GetByte(MAPOBJ* mapobj)
     
337. {
     
338.         int curbyte = *((BYTE*)mapobj+mapobj->ReadOffset);
     
339.         mapobj->ReadOffset++;
     
340.         return curbyte;
     
341. }
     
342. 
     
343. bool CWinDbgSpyDlg::TryReceiveBreakInPacket(MAPOBJ* mapobj, bool isreceive)
     
344. {
     
345.         int count=0;
     
346.         while(count < 3)//之前GetByte已经经过一个leader byte
     
347.         {
     
348.                 if(*((BYTE*)mapobj+mapobj->ReadOffset) != PACKET_LEADER_BYTE)
     
349.                         break;
     
350.                 mapobj->ReadOffset++;
     
351.                 count++;
     
352.         }
     
353.         if(count < 2)//无法同步，匹配下一个握手信号
     
354.                 return true;
     
355.         if(isreceive)
     
356.                 m_msglist.AddString("<=中断包");
     
357.         else
     
358.                 m_msglist.AddString(">=中断包");
     
359. }
     
360. 
     
361. bool CWinDbgSpyDlg::TryReceiveInfoPacket(MAPOBJ* mapobj, bool isreceive)
     
362. {
     
363.         char buf[256];
     
364.         int count=0;
     
365.         while(true)//之前GetByte已经经过一个leader byte
     
366.         {
     
367.                 if(*((BYTE*)mapobj+mapobj->ReadOffset) != PACKET_LEADER_BYTE)
     
368.                         break;
     
369.                 mapobj->ReadOffset++;
     
370.                 count++;
     
371.         }
     
372.         if(count < 2)//无法同步，匹配下一个握手信号
     
373.                 return true;
     
374. 
     
375.         KD_PACKET* curpack = (KD_PACKET*)((BYTE*)mapobj+mapobj->ReadOffset - (int)&((KD_PACKET*)0)->PacketType);
     
376.         curpack->PacketLeader=PACKET_LEADER;
     
377.         KD_PACKET curpackr;
     
378.         memcpy(&curpackr,curpack,sizeof(curpackr));
     
379.         curpackr.PacketLeader = CONTROL_PACKET_LEADER;//重建头部
     
380.         mapobj->ReadOffset += sizeof(KD_PACKET) - (int)&((KD_PACKET*)0)->PacketType;
     
381.         if(mapobj->ReadOffset > mapobj->WriteOffset)
     
382.                 return false;
     
383.         if(isreceive)
     
384.                 strcpy(buf,"<=I-");
     
385.         else
     
386.                 strcpy(buf,">=I-");
     
387.         switch(curpackr.PacketType)
     
388.         {
     
389.         case PACKET_TYPE_KD_STATE_CHANGE32://KD_PACKET后跟DBGKD_WAIT_STATE_CHANGE32
     
390.         case PACKET_TYPE_KD_STATE_CHANGE64:
     
391.                 {//本该由第一次接收版本号决定所使用的结构体
     
392.                         DBGKD_WAIT_STATE_CHANGE32* info = (DBGKD_WAIT_STATE_CHANGE32*)((BYTE*)mapobj+mapobj->ReadOffset);
     
393.                         strcat(buf,"statechange32 ");
     
394.                         switch(info->NewState)
     
395.                         {
     
396.                         case DbgKdExceptionStateChange:
     
397.                                 strcat(buf,"exc ");
     
398.                                 break;
     
399.                         case DbgKdLoadSymbolsStateChange:
     
400.                                 strcat(buf,"sym ");
     
401.                                 break;
     
402.                         case DbgKdCommandStringStateChange:
     
403.                                 strcat(buf,"str ");
     
404.                                 break;
     
405.                         default:
     
406.                                 sprintf(buf,"%s%d ",buf,info->NewState);
     
407.                                 break;
     
408.                         }
     
409.                 }
     
410.                 break;
     
411.         case PACKET_TYPE_KD_STATE_MANIPULATE://KD_PACKET后跟DBGKD_MANIPULATE_STATE
     
412.                 {
     
413.                         DBGKD_MANIPULATE_STATE32* info = (DBGKD_MANIPULATE_STATE32*)((BYTE*)mapobj+mapobj->ReadOffset);
     
414.                         strcat(buf,"api ");
     
415.                         int index=info->ApiNumber-DbgKdMin;
     
416.                         if(index>=0 && index<=45)
     
417.                                 strcat(buf,apiname[info->ApiNumber-DbgKdMin]);
     
418.                         else
     
419.                                 sprintf(buf,"%s%d",buf,index);
     
420.                 }
     
421.                 break;
     
422.         case PACKET_TYPE_KD_DEBUG_IO:
     
423.                 {
     
424.                         strcat(buf,"debugio ");
     
425.                 }
     
426.                 break;
     
427.         case PACKET_TYPE_KD_POLL_BREAKIN:
     
428.                 {
     
429.                         strcat(buf,"breakin ");
     
430.                 }
     
431.                 break;
     
432.         case PACKET_TYPE_KD_TRACE_IO:
     
433.                 {
     
434.                         strcat(buf,"traceio ");
     
435.                 }
     
436.                 break;
     
437.         case PACKET_TYPE_KD_CONTROL_REQUEST:
     
438.                 {
     
439.                         strcat(buf,"ctrlreq");
     
440.                 }
     
441.                 break;
     
442.         case PACKET_TYPE_KD_FILE_IO:
     
443.                 {
     
444.                         strcat(buf,"fileio");
     
445.                 }
     
446.                 break;
     
447.         default:
     
448.                 sprintf(buf,"%s%d",buf,curpackr.PacketType);
     
449.         }
     
450. 
     
451.         vector<BYTE> newdata;
     
452.         newdata.insert(newdata.end(),(BYTE*)&curpackr,(BYTE*)(&curpackr+1));
     
453.         newdata.insert(newdata.end(),(BYTE*)mapobj+mapobj->ReadOffset,(BYTE*)mapobj+mapobj->ReadOffset+curpackr.ByteCount);
     
454. 
     
455.         mapobj->ReadOffset += curpackr.ByteCount;
     
456.         if(mapobj->ReadOffset > mapobj->WriteOffset)
     
457.                 return false;
     
458.         //等待0xAA
     
459.         bool waitsuccess = false;
     
460.         while(true)//终止条件待处理
     
461.         {
     
462.                 if(*((BYTE*)mapobj+mapobj->ReadOffset) == 0xAA)
     
463.                 {
     
464.                         waitsuccess = true;
     
465.                         break;
     
466.                 }
     
467.                 mapobj->ReadOffset++;
     
468.                 if(mapobj->ReadOffset > mapobj->WriteOffset-1)
     
469.                         break;
     
470.         }
     
471.         mapobj->ReadOffset++;
     
472.         if(waitsuccess)
     
473.         {
     
474.                 int index = dataarray.size();
     
475.                 dataarray.push_back(newdata);
     
476.                 int index2 = m_msglist.AddString(buf);
     
477.                 m_msglist.SetItemData(index2,index);
     
478.                 packetread.push_back(curpackr);
     
479.         }
     
480.         return waitsuccess;
     
481. }
     
482. 
     
483. bool CWinDbgSpyDlg::TryReceiveControlPacket(MAPOBJ* mapobj, bool isreceive)
     
484. {
     
485.         char buf[256];
     
486.         int count=0;
     
487.         while(true)//之前GetByte已经经过一个leader byte
     
488.         {
     
489.                 if(*((BYTE*)mapobj+mapobj->ReadOffset) != CONTROL_PACKET_LEADER_BYTE)
     
490.                         break;
     
491.                 mapobj->ReadOffset++;
     
492.                 count++;
     
493.         }
     
494.         if(count < 2)//无法同步，匹配下一个握手信号
     
495.                 return true;
     
496. 
     
497.         KD_PACKET* curpack = (KD_PACKET*)((BYTE*)mapobj+mapobj->ReadOffset - (int)&((KD_PACKET*)0)->PacketType);
     
498.         KD_PACKET curpackr;
     
499.         memcpy(&curpackr,curpack,sizeof(curpackr));
     
500.         curpackr.PacketLeader = CONTROL_PACKET_LEADER;//重建头部
     
501.         mapobj->ReadOffset += sizeof(KD_PACKET) - (int)&((KD_PACKET*)0)->PacketType;
     
502.         if(mapobj->ReadOffset > mapobj->WriteOffset)
     
503.                 return false;
     
504.         if(isreceive)
     
505.                 strcpy(buf,"<=C-");
     
506.         else
     
507.                 strcpy(buf,">=C-");
     
508.         switch(curpackr.PacketType)
     
509.         {
     
510.         case PACKET_TYPE_KD_ACKNOWLEDGE:
     
511.                 strcat(buf,"acknowledge");
     
512.                 break;
     
513.         case PACKET_TYPE_KD_RESEND:
     
514.                 strcat(buf,"resend");
     
515.                 break;
     
516.         case PACKET_TYPE_KD_RESET:
     
517.                 strcat(buf,"reset");
     
518.                 break;
     
519.         default:
     
520.                 sprintf(buf,"%s%d",buf,curpackr.PacketType);
     
521.                 break;
     
522.         }
     
523.         vector<BYTE> newdata;
     
524.         newdata.insert(newdata.end(),(BYTE*)&curpackr,(BYTE*)(&curpackr+1));
     
525.         int index = dataarray.size();
     
526.         dataarray.push_back(newdata);
     
527.         int index2 = m_msglist.AddString(buf);
     
528.         m_msglist.SetItemData(index2,index);
     
529.         packetwrite.push_back(curpackr);
     
530.         return true;
     
531. }
     
532. 
     
533. void CWinDbgSpyDlg::OnLbnSelchangeMsglist()
     
534. {
     
535.         int cursel=m_msglist.GetCurSel();
     
536.         if(cursel>=0)
     
537.         {
     
538.                 int index = m_msglist.GetItemData(cursel);
     
539.                 vector<BYTE>& data = dataarray[index];
     
540.                 char buf[256];
     
541.                 UpdateData(TRUE);
     
542.                 m_content="";
     
543.                 for(int i=0;i<data.size();i++)
     
544.                 {
     
545.                         sprintf(buf,"%02X ",data[i]);
     
546.                         m_content += buf;
     
547.                         if((i%16)==15)
     
548.                         {
     
549.                                 m_content += "\r\n";
     
550.                         }
     
551.                 }
     
552.                 UpdateData(FALSE);
     
553.         }
     
554. }
     

复制代码

1. // dllmain.cpp : 定义 DLL 应用程序的入口点。
   
2. #include "stdafx.h"
   
3. #include "detours.h"
   
4. #include "common.h"
   
5. #include <Shlwapi.h>
   
6. #include <stdio.h>
   
7. #pragma comment(lib,"detours.lib")
   
8. #pragma comment(lib,"shlwapi.lib")
   
9. 
   
10. HANDLE hMapRead;
    
11. HANDLE hMapWrite;
    
12. LPVOID lpBufRead;
    
13. LPVOID lpBufWrite;
    
14. CRITICAL_SECTION lock;
    
15. BOOL InitOk;
    
16. HANDLE hEvent;
    
17. HANDLE currentpipe=INVALID_HANDLE_VALUE;
    
18. 
    
19. HANDLE WINAPI NEW_CreateFileW(LPCWSTR lpFileName,DWORD dwDesiredAccess,DWORD dwShareMode,LPSECURITY_ATTRIBUTES lpSecurityAttributes,
    
20.         DWORD dwCreationDisposition,DWORD dwFlagsAndAttributes,HANDLE hTemplateFile);
    
21. BOOL WINAPI NEW_ReadFile(HANDLE hFile,LPVOID lpBuffer,DWORD nNumberOfBytesToRead,LPDWORD lpNumberOfBytesRead,LPOVERLAPPED lpOverlapped);
    
22. BOOL WINAPI NEW_WriteFile(HANDLE hFile,LPCVOID lpBuffer,DWORD nNumberOfBytesToWrite,LPDWORD lpNumberOfBytesWritten,LPOVERLAPPED lpOverlapped);
    
23. 
    
24. #define G(X) GetProcAddress(GetModuleHandleW(L"kernel32.dll"),X)
    
25. 
    
26. #define HookMax 3
    
27. FARPROC OLD_FUNCS[HookMax] =
    
28. {
    
29.         G("CreateFileW"),
    
30.         G("ReadFile"),
    
31.         G("WriteFile"),
    
32. };
    
33. 
    
34. FARPROC NEW_FUNCS[HookMax] =
    
35. {
    
36.         (FARPROC)NEW_CreateFileW,
    
37.         (FARPROC)NEW_ReadFile,
    
38.         (FARPROC)NEW_WriteFile,
    
39. };
    
40. 
    
41. enum
    
42. {
    
43.         ECreateFileW,
    
44.         EReadFile,
    
45.         EWriteFile,
    
46. };
    
47. 
    
48. void __cdecl Hook()
    
49. {
    
50.         DetourRestoreAfterWith();
    
51.         DetourTransactionBegin();
    
52.         DetourUpdateThread(GetCurrentThread());
    
53.         for (int i = 0; i < HookMax; i++)
    
54.         {
    
55.                 DetourAttach(&(PVOID&)OLD_FUNCS[i], NEW_FUNCS[i]);
    
56.         }
    
57.         DetourTransactionCommit();
    
58. }
    
59. 
    
60. void __cdecl UnHook()
    
61. {
    
62.         DetourTransactionBegin();
    
63.         DetourUpdateThread(GetCurrentThread());
    
64.         for (int i = 0; i < HookMax; i++)
    
65.         {
    
66.                 DetourDetach(&(PVOID&)OLD_FUNCS[i], NEW_FUNCS[i]);
    
67.         }
    
68.         DetourTransactionCommit();
    
69. }
    
70. 
    
71. void Init()
    
72. {
    
73.         InitializeCriticalSection(&lock);
    
74.         int MapSize=0x1000000;
    
75.         hMapRead = OpenFileMappingA(FILE_MAP_READ|FILE_MAP_WRITE,FALSE,"WDBGMAPREAD");
    
76.         if(hMapRead == NULL)
    
77.                 return;
    
78.         hMapWrite = OpenFileMappingA(FILE_MAP_READ|FILE_MAP_WRITE,FALSE,"WDBGMAPWRITE");
    
79.         if(hMapWrite == NULL)
    
80.                 return;
    
81.         lpBufRead = MapViewOfFile(hMapRead,FILE_MAP_READ|FILE_MAP_WRITE,0,0,MapSize);//预留16M容量满则清理
    
82.         lpBufWrite = MapViewOfFile(hMapWrite,FILE_MAP_READ|FILE_MAP_WRITE,0,0,MapSize);//预留16M容量满则清理
    
83.         InitOk = TRUE;
    
84.         hEvent = OpenEventA(SYNCHRONIZE|EVENT_MODIFY_STATE,FALSE,"WDBGEVENT");
    
85.         Hook();
    
86. }
    
87. 
    
88. BOOL APIENTRY DllMain( HMODULE hModule, DWORD  ul_reason_for_call, LPVOID lpReserved )
    
89. {
    
90.         switch (ul_reason_for_call)
    
91.         {
    
92.         case DLL_PROCESS_ATTACH:
    
93.                 Init();
    
94.                 break;
    
95.         case DLL_THREAD_ATTACH:
    
96.                 break;
    
97.         case DLL_THREAD_DETACH:
    
98.                 break;
    
99.         case DLL_PROCESS_DETACH:
    
100.                 UnHook();
     
101.                 break;
     
102.         }
     
103.         return TRUE;
     
104. }
     
105. 
     
106. HANDLE WINAPI NEW_CreateFileW(LPCWSTR lpFileName,DWORD dwDesiredAccess,DWORD dwShareMode,LPSECURITY_ATTRIBUTES lpSecurityAttributes,
     
107.         DWORD dwCreationDisposition,DWORD dwFlagsAndAttributes,HANDLE hTemplateFile)
     
108. {
     
109.         HANDLE hFile = ((HANDLE (WINAPI*)(LPCWSTR,DWORD,DWORD,LPSECURITY_ATTRIBUTES,DWORD,DWORD,HANDLE))OLD_FUNCS[ECreateFileW])
     
110.                 (lpFileName,dwDesiredAccess,dwShareMode,lpSecurityAttributes,dwCreationDisposition,dwFlagsAndAttributes,hTemplateFile);
     
111.         if(StrStrIW(lpFileName,L"pipe\\com_") && hFile != INVALID_HANDLE_VALUE)
     
112.         {
     
113.                 currentpipe = hFile;
     
114.         }
     
115.         return hFile;
     
116. }
     
117. 
     
118. BOOL WINAPI NEW_ReadFile(HANDLE hFile,LPVOID lpBuffer,DWORD nNumberOfBytesToRead,LPDWORD lpNumberOfBytesRead,LPOVERLAPPED lpOverlapped)
     
119. {
     
120.         BOOL ret = ((BOOL (WINAPI*)(HANDLE,LPVOID,DWORD,LPDWORD,LPOVERLAPPED))OLD_FUNCS[EReadFile])(hFile,lpBuffer,nNumberOfBytesToRead,
     
121.                 lpNumberOfBytesRead,lpOverlapped);
     
122.         if(ret && currentpipe == hFile)
     
123.         {
     
124.                 if(InitOk && WAIT_OBJECT_0 == WaitForSingleObject(hEvent,INFINITE))
     
125.                 {
     
126.                         MAPOBJ* mapobj = (MAPOBJ*)lpBufRead;
     
127.                         //memset((BYTE*)mapobj+mapobj->WriteOffset,0,*lpNumberOfBytesRead);
     
128.                         FlushViewOfFile((BYTE*)mapobj+mapobj->WriteOffset,*lpNumberOfBytesRead);
     
129.                         memcpy((BYTE*)mapobj+mapobj->WriteOffset,lpBuffer,*lpNumberOfBytesRead);
     
130.                         FlushViewOfFile((BYTE*)mapobj+mapobj->WriteOffset,*lpNumberOfBytesRead);
     
131.                         mapobj->WriteOffset += *lpNumberOfBytesRead;
     
132.                         SetEvent(hEvent);
     
133.                 }
     
134.         }
     
135.         return ret;
     
136. }
     
137. 
     
138. BOOL WINAPI NEW_WriteFile(HANDLE hFile,LPCVOID lpBuffer,DWORD nNumberOfBytesToWrite,LPDWORD lpNumberOfBytesWritten,LPOVERLAPPED lpOverlapped)
     
139. {
     
140.         BOOL ret = ((BOOL (WINAPI*)(HANDLE,LPCVOID,DWORD,LPDWORD,LPOVERLAPPED))OLD_FUNCS[EWriteFile])(hFile,lpBuffer,nNumberOfBytesToWrite,
     
141.                 lpNumberOfBytesWritten,lpOverlapped);
     
142.         if(ret && currentpipe == hFile)
     
143.         {
     
144.                 if(InitOk && WAIT_OBJECT_0 == WaitForSingleObject(hEvent,INFINITE))
     
145.                 {
     
146.                         MAPOBJ* mapobj = (MAPOBJ*)lpBufWrite;
     
147.                         memset((BYTE*)mapobj+mapobj->WriteOffset,0,*lpNumberOfBytesWritten);
     
148.                         memcpy((BYTE*)mapobj+mapobj->WriteOffset,lpBuffer,*lpNumberOfBytesWritten);
     
149.                         mapobj->WriteOffset += *lpNumberOfBytesWritten;
     
150.                         SetEvent(hEvent);
     
151.                 }
     
152.         }
     
153.         return ret;
     
154. }
     
155. 
     

复制代码