hook Sysenter 崩溃

2011-03-22 06:02:11 324 阅读 AI 写同款 · GEO 优化AI 选题数据监测一键分发 ›

WinDbg(x86)下用户态与内核态切换跟踪：实战案例解析通过具体案例深入剖析WinDbg在x86环境下如何捕获用户态与内核态的切换过程，掌握关键调试技巧，提升对系统底层运行机制的理解，是熟练运用windbg进行深度调试的必备技能。阅读详情

两个疑问:
疑问一：
看网上资料WinDBG输入"lkd> rdmsr 176",可以见转入了地址80541770用ln命令"ln 80541770"可见最终转入nt!KiFastCallEntry()--->但我在xp sp3下自已动手试了下事实如下:
kd> rdmsr 176
msr[176] = 00000000`8053e550
kd> u 8053e550
nt!KeReleaseInStackQueuedSpinLockFromDpcLevel+0xa1c:
8053e550 b923000000 mov ecx,23h
8053e555 6a30 push 30h
8053e557 0fa1 pop fs
8053e559 8ed9 mov ds,cx
...如上，为什么sysenter并非如网上所述是KiFastCallEntry而是KeReleaseInStackQueuedSpinLockFromDpcLevel。

疑问二：
ULONG Real_KiFastCallEntry;
ULONG ulCnt = 0;

__declspec(naked) Hook_KiFastCallEntry()
{
ulCnt++;
if (ulCnt%100 == 0)
{
DbgPrint("第%d百次调用SYSENTER指令！\n", ulCnt/100);
}
__asm {
jmp Real_KiFastCallEntry ;
}
}

NTSTATUS
DriverEntry(
__in struct _DRIVER_OBJECT *pDriverObject,
__in PUNICODE_STRING pRegistryPath
)
{
#ifdef DBG
_asm int 3;
#endif
pDriverObject->DriverUnload = Unload;

__asm {
mov ecx, 0x176;
xor edx, edx; //写SYSENTER_EIP_MSR寄存器前得清空edx,否则引起系统崩溃
rdmsr; // 读取SYSENTER_EIP_MSR寄存器
mov Real_KiFastCallEntry, eax;
mov eax, Hook_KiFastCallEntry;
wrmsr; // 写入SYSENTER_EIP_MSR寄存器
}

return STATUS_SUCCESS;
}

//驱动卸载
VOID
Unload(
__in struct _DRIVER_OBJECT *pDriverObject
)
{
_asm
{
mov ecx, 0x176;
xor edx, edx;
mov eax, Real_KiFastCallEntry;
wrmsr; // 写入SYSENTER_EIP_MSR寄存器
}

DbgPrint("Unload运行完毕，驱动卸载成功");
}

/****************/
当DriverEntry返回STATUS_SUCCESS后，WINDBG提示：
Terminating critical process 0x815EE340 (csrss.exe)
Break, or Ignore (bi)? ...选择i..之后目标机就卡住了，好像死机一般。

...全文