逆WIN7X64内核调试之NTCreateDebugObject

落笔飞花

NTSTATUS __fastcall proxyNtCreateDebugObject(
        OUT PHANDLE DebugObjectHandle,
        IN ACCESS_MASK DesiredAccess,
        IN POBJECT_ATTRIBUTES ObjectAttributes,
        IN ULONG Flags
        )
{
        NTSTATUS status;
        HANDLE Handle;
        PDEBUG_OBJECT DebugObject;
        KPROCESSOR_MODE        PreviousMode;

        PreviousMode = ExGetPreviousMode();

        //判断用户层句柄地址是否合法
        try {
                if (PreviousMode != KernelMode) {
                ProbeForWriteHandle (DebugObjectHandle);
                        *DebugObjectHandle = *DebugObjectHandle;
                }
                *DebugObjectHandle = NULL;

        } except(ExSystemExceptionFilter()) {
                return GetExceptionCode();
        }

        if (Flags & ~DEBUG_KILL_ON_CLOSE) {
                return STATUS_INVALID_PARAMETER;
        }

        //创建调试对象
        status = ObCreateObject(
                PreviousMode,
                NewDbgObject,        //调试对象类型，后面我们要换成我们新建的调试对象类型
                ObjectAttributes,
                PreviousMode,
                NULL,
                sizeof(DEBUG_OBJECT),
                0,
                0,
                (PVOID*)&DebugObject);

        if (!NT_SUCCESS(status)) {
                return status;
        }
        //初始化调试对象
        ExInitializeFastMutex(&DebugObject->Mutex);
        InitializeListHead(&DebugObject->EventList);
        KeInitializeEvent(&DebugObject->EventsPresent, NotificationEvent, FALSE);

        if (Flags & DEBUG_KILL_ON_CLOSE) {
                DebugObject->Flags = DEBUG_OBJECT_KILL_ON_CLOSE;
        }
        else {
                DebugObject->Flags = 0;
        }

        //调试对象插入句柄表
        status = ObInsertObject(
                DebugObject,
                NULL,
                DesiredAccess,
                0,
                NULL,
                &Handle);
        if (!NT_SUCCESS(status)) {
                return status;
        }

        try {
                *DebugObjectHandle = Handle;
        } except(ExSystemExceptionFilter()) {
                status = GetExceptionCode();
        }

        return status;
}

这个函数没什么改变 ~~抄mengwuji的就可以了= =

Tesla.Angela

话说这么多年，调试体系的变化是不太大的，唯独就是很多相关的API和变量没导出。
此外，估计WIN64上为了支持对WOW64程序的调试，有新的内容。