Windows内核条件断点未评估

Question

我通过visual studio 2013使用windows内核调试器,我试图在函数(nt!KiSwapContext)中停止(中断)但仅针对特定进程(0x920).

断点在没有条件的情况下工作 bp nt!KiSwapContext

我确定可以找到当前线程的进程ID dt dword poi(gs:[188h])+3B8h

我已经确认以下有条件的工作,看看我是否在正确的线程: ? poi(poi(gs:[188h])+3B8h)==0x920

但是,当我尝试设置条件断点时,无论我在if/else中放置什么,它总是会中断.所以我猜它认为表达式是无效的,只是忽略它.我已经确认,如果我确实输入了一个无效的表达式,它只会在没有警告或错误的情况下接受它,并且总是在断点处停止.

我正在使用的表达式是: bp nt!KiSwapContext ".if (poi(poi(gs:[188h])+3B8h)==0x920) {} .else {gc}"

我也尝试使用j条件语法无济于事.

关于我做错了什么的任何想法？

[编辑]哦,作为奖励,如何在64位处理器上使用dword而不是qword进行条件检查.? poi(poi(gs:[188h])+3B8h)返回qword值.我知道我可以用它dd来获取值,但我似乎无法弄清楚如何将其添加到条件中.像? dword(poi(gs:[188h])+3B8h)==0x920或的东西? {dd poi(gs:[188h])+3B8h}==0x920

Answer 1

windbg允许你设置process specific breakpoints with /p
你不应该使用gs和fs寄存器

kd> bl

kd> !process 0 0 calc.exe
Failed to get VAD root
PROCESS 8113d528  SessionId: 0  Cid: 07a0    Peb: 7ffde000  ParentCid: 043c
    DirBase: 03d27000  ObjectTable: e15ba240  HandleCount:  28.
    Image: calc.exe

kd> bp /p 8113d528 nt!KiSwapContext "?? (char *)(@$proc->ImageFileName)"
kd> g
char * 0x8113d69c
 "calc.exe"
nt!KiSwapContext:
804db828 83ec10          sub     esp,10h
kd> g
char * 0x8113d69c
 "calc.exe"
nt!KiSwapContext:
804db828 83ec10          sub     esp,10h

根据需要使用dwo()和qwo()来评估dword和qword

kd> ? qwo ( ffb9cda8 + 70)
Evaluate expression: -9142252815570161280 = 81203180`81203180
kd> ? dwo ( qwo ( ffb9cda8 + 70))
Evaluate expression: -4600296 = ffb9ce18

confirmation

kd> dd 81203180 l1
81203180  ffb9ce18
kd> dd ffb9cda8+70 l1
ffb9ce18  81203180

编辑

我无法访问x64系统atm因此无法告诉你表达式中的错误,
但一般情况下你应该避免硬编码,除非绝对必要

在你的情况下,没有必要

windbg为您提供了难以编码的伪寄存器

$thread to c++ Expression for CurrentThread * ie (nt!_ETHREAD *) .

那么$thread->Cid.UniqueProcess什么是你与你的gsexxxxx评估

考虑到这一点,您可以设置这样的断点

bp nt!KiSwapContext"r？$ t0 = @ $ thread-> Cid.UniqueProcess; .if(@ $ t0!= 0x740){？@ $ t0; ??(char*)@ $ proc-> ImageFileName; gc} "

这个条件只会在calc.exe中打破当前进程

kd> g
Evaluate expression: 404 = 00000194
char * 0x81105c84
 "csrss.exe"
XXXXXXXXXXX
Evaluate expression: 4 = 00000004
char * 0x8129196c
 "System"
xxxxxxxxxxxxxxxxxxxxxxxxxxx
Evaluate expression: 1404 = 0000057c
char * 0x8114a4bc
 "vpcmap.exe"
Evaluate expression: 480 = 000001e0
char * 0x8112a98c
 "services.exe"
Evaluate expression: 492 = 000001ec
char * 0x811cc9ac
 "lsass.exe"
zzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzz
Evaluate expression: 1116 = 0000045c
char * 0xffaf9da4
 "explorer.exe"
Evaluate expression: 644 = 00000284
char * 0xffb74f14
 "svchost.exe"

nt!KiSwapContext: <---------------------------Conditional broke here
804db828 83ec10          sub     esp,10h

kd> ? @$t0;?? (char * )@$proc->ImageFileName
Evaluate expression: 1856 = 00000740
char * 0x8110e76c
 "calc.exe"

请记住,在一条非常炎热的道路上评估条件会让你忍受无法忍受的痛苦,看着它爬行

nt!kiSwapContext在几秒钟内被调用数百次,您将在会话中看到非常明显的性能下降

只要有可能,使用特定于流程或特定于线程的断点就不会评估条件

不,我不使用任何备忘单(谷歌说有少数可用)我更喜欢手动或在某些情况下在线msdn文档