dt запрашивать экстерны у него. Так мы убиваем сразу двух зайцев – получаем самые актуальные версии структур, и всё-это не отходя от кассы.bcdedit /debug on. По личному опыту могу сказать, что этот совет не только бесполезный для этих систем, но после него в лучшем случае мастдай вообще перестанет грузиться (на старте виснет, ожидая отлаживаемую ОС), а в худшем – роняет систему в BSOD.1. bcdedit /debug on
2. bcdedit /dbgsettings local /start disable /noumex/debug воспроизведение DVD/MPEG2 не будет работать в системе – это не ошибка, а изначально так задумано разработчиком. Мда.. картина создаёт удручающее впечатление. Чтобы подобраться к структурам ядра, мы должны пожертвовать юзермодными исключениями, и кодеками MPEG2. Имхо обмен не рентабельный..bcdedit вообще не трогаем, а скачиваем пакет Руссиновича «SysinternalsSuite», в составе которого имеется консольная утилита «LiveKD»./debug в нём не нашёл. Можно-же оказывается не доставать бубен, но видимо Microsoft это не устраивает, и нужно обязательно создать проблемы юзеру. В результате получаем окно ниже, которое отзывается на все стандартные команды WinDbg:
dt и аргументом передать имя этой структуры, он вернёт нам следующее:struct IMAGE_RUNTIME_FUNCTION_ENTRY
BeginAddress dd 0 ;// RVA-адрес начала блока
EndAddress dd 0 ;// RVA-адрес конца блока
UnwindInfoAddress dd 0 ;// RVA-линк на дочернюю структуру "UNWIND_INFO"
endsSHL, ну или использовать сразу предопределённые константы 9 и 19h.0: kd> dt _unwind_info
WDFLDR!_UNWIND_INFO
+0x000 Version : Pos 0. 3-Bits ;// 3-бита под версию (1 или 2)
+0x000 Flags : Pos 3. 5-Bits ;// 5-бит под флаги (см.ниже)
+0x001 SizeOfProlog : UChar ;// байт с размером прогола функции
+0x002 CountOfCodes : UChar ;// байт с кол-вом вложенных структур UNWIND_CODE
+0x003 FrameRegister : Pos 0. 4-Bits ;// 4-бита под регистр-кадра (0=RAX и т.д)
+0x003 FrameOffset : Pos 4. 4-Bits ;// 4-бита под смещение кадра
+0x004 UnwindCode : _UNWIND_CODE ;// массив кодов раскрутки (зависит от флагов)
0: kd>#define UNW_FLAG_NHANDLER = 00000 = 0 ;// Next (пропустить)
#define UNW_FLAG_EHANDLER = 00001 = 1 ;// Execute (обработать)
#define UNW_FLAG_UHANDLER = 00010 = 2 ;// Unwind (раскрутить)
#define UNW_FLAG_CHAININFO = 00100 = 4 ;// Chain (это цепочка)struct UNWIND_INFO
VersionFlags db 9 ;// флаг и версия = по 1
SizeOfProlog db 0 ;// дефолт 16-байт
CountOfCodes db 0 ;// отсчёт с нуля = 1
FrameRegOffset db 0 ;// 0=RAX регистр фрейма
;//---
;//--- if Flags = 001b (eHandler, обработка)
ExceptHandlerAddr dd 0 ;// RVA-адрес обработчика исключения
;//--- if Flags = 010b (uHandler, раскрутить кадры в стеке)
UnwindCode UNWIND_CODE ;// вложенная структура
;//--- if Flags = 100b (cHandler, это цепочка, так-что опять вставляем первую структуру кадра)
FunctionEntry IMAGE_RUNTIME_FUNCTION_ENTRY
LangSpecificData dd 0 ;// нет специфичных для языка-программирования данных
endsExceptionHandler, передав диспетчеру адрес своего обработчика исключений. Второй варик предусмотрен на случай, когда исключение возникает не в основной функции программного кода, а во-вложенной в неё. Тогда диспетчеру придётся раскручивать стек, двигаясь назад к параметрам основной функции, при этом черпая информацию из структуры UNWIND_CODE. Третий вариант – это схема обработки исключений с цепочкой структур IMAGE_RUNTIME_FUNCTION_ENTRY, и соответственно первая связывается со-следующей своей ксерокопией. Поле с языком заполняют компиляторы си, поэтому в ассме оно нам не интересно и ставим его в нуль.
virtual ассемблера FASM. Вот как данная фишка будет выглядеть в коде исходника:section '.xdata' code readable executable
proc Handler ;//<----- обработчик исключения!
;//-------------
virtual at rcx
record EXCEPTION_RECORD64
end virtual
;//-------------
virtual at r8
context CONTEXT64
end virtual
. . . . . .mov rax,[record.ExceptionCode]. По названию структуры CONTEXT легко догадаться, что диспетчер сбрасывает в неё содержимое всех регистров процессора на момент исключения, включая MMX и XMM. На 64-бит системах она имеет размер 1224-байт, поэтому я зарыл её в спойлер ниже.ContinueExecute=0, на что диспетчер отреагирует восстановлением контекста регистров. Если в этот момент мы не обновим регистр-указателя на сл.инструкцию RIP, то получим мёртвый цикл, т.к. процессор будет генерить предыдущее исключение снова и снова. Чтобы не попасть в такую ловушку, на выходе из обработчика нам нужно перезаписать RIP меткой в коде, чтобы пропустить глючную инструкцию.......
mov [context.Rip],@next ;// обновить RIP в структуре “CONTEXT”
xor eax,eax ;// флаг “ContinueExecution=0”
ret
endppushaq, при помощи которой можно было запихать в стек сразу все регистры. Поэтому придётся перечислять их в ручную, ну или написать соответствующий макрос.0: kd> dt _context
nt!_CONTEXT
+0x000 P1Home : Uint8B
+0x008 P2Home : Uint8B
+0x010 P3Home : Uint8B
+0x018 P4Home : Uint8B
+0x020 P5Home : Uint8B
+0x028 P6Home : Uint8B
+0x030 ContextFlags : Uint4B
+0x034 MxCsr : Uint4B
+0x038 SegCs : Uint2B
+0x03a SegDs : Uint2B
+0x03c SegEs : Uint2B
+0x03e SegFs : Uint2B
+0x040 SegGs : Uint2B
+0x042 SegSs : Uint2B
+0x044 EFlags : Uint4B
+0x048 Dr0 : Uint8B
+0x050 Dr1 : Uint8B
+0x058 Dr2 : Uint8B
+0x060 Dr3 : Uint8B
+0x068 Dr6 : Uint8B
+0x070 Dr7 : Uint8B
+0x078 Rax : Uint8B
+0x080 Rcx : Uint8B
+0x088 Rdx : Uint8B
+0x090 Rbx : Uint8B
+0x098 Rsp : Uint8B
+0x0a0 Rbp : Uint8B
+0x0a8 Rsi : Uint8B
+0x0b0 Rdi : Uint8B
+0x0b8 R8 : Uint8B
+0x0c0 R9 : Uint8B
+0x0c8 R10 : Uint8B
+0x0d0 R11 : Uint8B
+0x0d8 R12 : Uint8B
+0x0e0 R13 : Uint8B
+0x0e8 R14 : Uint8B
+0x0f0 R15 : Uint8B
+0x0f8 Rip : Uint8B
+0x100 FltSave : _XSAVE_FORMAT
+0x100 Header : [2] _M128A
+0x120 Legacy : [8] _M128A
+0x1a0 Xmm0 : _M128A
+0x1b0 Xmm1 : _M128A
+0x1c0 Xmm2 : _M128A
+0x1d0 Xmm3 : _M128A
+0x1e0 Xmm4 : _M128A
+0x1f0 Xmm5 : _M128A
+0x200 Xmm6 : _M128A
+0x210 Xmm7 : _M128A
+0x220 Xmm8 : _M128A
+0x230 Xmm9 : _M128A
+0x240 Xmm10 : _M128A
+0x250 Xmm11 : _M128A
+0x260 Xmm12 : _M128A
+0x270 Xmm13 : _M128A
+0x280 Xmm14 : _M128A
+0x290 Xmm15 : _M128A
+0x300 VectorRegister : [26] _M128A
+0x4a0 VectorControl : Uint8B
+0x4a8 DebugControl : Uint8B
+0x4b0 LastBranchToRip : Uint8B
+0x4b8 LastBranchFromRip : Uint8B
+0x4c0 LastExceptionToRip : Uint8B
+0x4c8 LastExceptionFromRip : Uint8B
0: kd>
_try\_except, а остальное оформляет сам компилятор без участия программиста. Но чтобы кол-во обработчиков перевалило за тыщу, это вообще туши свет. По всей вероятности автор юзает для всех\своих приложений один и тот-же шаблон, т.к. у большинства обработчиков флаги выставлены в нуль, что означает UNW_FLAG_NHANDLER, или пропустить. В любом случае «PE-Browser» круто исполняет своё дело, а это уже гуд.format pe64 console
entry start
include 'win64ax.inc'
include 'equates\except64.inc'
;//-----------
section '.data' data readable writeable
a dq 0
b dq 0
c dq 0
aa dd 0
bb dd 0
rdAddr dq 0
szAccess db 'Access Violation!',0
szDivide db 'Divide by Zero!',0
buff dd 0
;//-----------
section '.code' code readable executable
start:
frame
invoke SetConsoleTitle,<'x64 SEH example',0>
invoke GetModuleHandle,0
xchg rdx,rax
;//----- Пытаемся прочитать адрес юзера ------------
cinvoke printf, <10,' Image base...: 0x%016I64x',\
10,' Read address.: 0x',0>,rdx
cinvoke scanf,<'%I64x',0>,rdAddr
or eax,eax
jnz @startSeh1
@err: cinvoke printf, <' Error!',0>
jmp @exit
;//**********************************************************************
;//********* БЛОК КОНТРОЛЯ ИСКЛЮЧЕНИЙ ***********************************
@startSeh1: mov rax,[rdAddr]
mov rdx,[rax]
@endSeh1: cinvoke printf, <' Value........: 0x%016I64x',10,0>,rdx
;//**********************************************************************
;//**********************************************************************
;//----- Умножение чисел с плавающей точкой -----------------------------
@next: cinvoke printf, <10,10,' MUL float value...',\
10,' ---------------------',\
10,' Input A float: ',0>
cinvoke scanf,<'%lf',0>,a
or eax,eax
jz @err
cinvoke printf, <' Input B float: ',0>
cinvoke scanf,<'%lf',0>,b
or eax,eax
jz @err
cinvoke printf, <' Result.......: ',0>
movsd xmm0,[a]
mulsd xmm0,[b]
movq rax,xmm0
cinvoke printf,<'%lf',0>,rax
;//----- Операция деления целых чисел -----------------------------------
cinvoke printf, <10,10,' DIV integer value...',\
10,' ---------------------',\
10,' Input A int..: ',0>
cinvoke scanf,<'%u',0>,aa
or eax,eax
jz @err
cinvoke printf, <' Input B int..: ',0>
cinvoke scanf,<'%u',0>,bb
or eax,eax
jz @err
cinvoke printf, <' Result.......: ',0>
;//**********************************************************************
;//********* БЛОК КОНТРОЛЯ ИСКЛЮЧЕНИЙ ***********************************
@startSeh2: xor rdx,rdx
mov eax,[aa]
div [bb]
xchg rbx,rdx
@endSeh2: cinvoke printf, <'%u.%u',0>,rax,rbx
;//**********************************************************************
;//**********************************************************************
@exit: cinvoke _getch
cinvoke exit,0
endf
;//--------------
section '.idata' import data readable
library kernel32,'kernel32.dll',msvcrt,'msvcrt.dll'
include 'api\kernel32.inc'
include 'api\msvcrt.inc'
;//----- Секция исключений --------------------------------
;//----- Регистрируем её в каталоге РЕ под номером(3) -----
section '.pdata' data readable
data 3
;//---- RUNTIME_FUNCTION(1)
dd RVA @startSeh1
dd RVA @endSeh1
dd RVA @UnwindInfo
;//---- RUNTIME_FUNCTION(2)
dd RVA @startSeh2
dd RVA @endSeh2
dd RVA @UnwindInfo
align 16 ;//<--- Обязательное выравнивание структуры “UNWIND_INFO”
@UnwindInfo: ;//v------------ Флаг
db 9,0,0,0 ;// 9 = 00001.001b <----- Версия
dd RVA Handler
dd 0
end data
;//----- Секция под обработчик исключений -----------------------
;//----- Microsoft советует помещать код обработчика именно сюда,
;//----- хотя это вовсе не принципиально ------------------------
section '.xdata' code readable writeable executable
proc Handler
;// RCX = адрес структуры "EXCEPTION_RECORD64"
;// R8 = адрес структуры "CONTEXT64"
virtual at rcx
record EXCEPTION_RECORD64
end virtual
virtual at r8
context CONTEXT64
end virtual
align 16
PushNonVolReg
mov [context.Rip],@next ;// обновить RIP
mov r15,szAccess
mov r10d,[record.ExceptionCode]
cmp r10d,EXCEPTION_ACCESS_VIOLATION ;// проверить код-исключения
jz @f
mov [context.Rip],@exit ;// меняем RIP в зависимости от кода
mov r15,szDivide
@@: mov r11d,[record.ExceptionFlags] ;// собираем инфу для лога
mov r12, [record.ExceptionAddress]
mov r13, [context.Rcx]
mov r14, [context.Rdx]
mov rsi, [context.R8]
mov rdi, [context.R9]
cinvoke printf,<10,10,' ************** Attention! Exception Handler **************',\
10,10,' Except code...: 0x%08X --> %s',\
10,' Except flag...: 0x%08x',\
10,' Except addr...: 0x%016I64x',10,\
10,' RCX: 0x%016I64x',\
' R8: 0x%016I64x',\
10,' RDX: 0x%016I64x',\
' R9: 0x%016I64x',10,\
10,' **********************************************************',0>,\
r10,r15,r11,r12,r13,rsi,r14,rdi
PopNonVolReg
mov eax,EXCEPTION_CONTINUE_EXECUTION ;// команда диспетчеру «Всё ОК! Продолжить»
ret
endp
Статья читается полностью. Тезисы со ссылками на разделы появятся позже.
Да, это локальный режим ядра. Вводите команды и всё.
Нет, так не должно быть. Вы видимо копируете, а в команде притаилась русская буква.
Loading Kernel Symbols
...............................................................
................................................................
........................
Loading User Symbols
............
Loading unloaded module list
..................
0: kd> dt nt!*thread*
ntkrnlmp!_KTHREAD
ntkrnlmp!_KTHREAD_COUNTERS
ntkrnlmp!_ETHREAD
ntkrnlmp!_VI_DEADLOCK_THREAD
ntkrnlmp!_THREAD_PERFORMANCE_DATA
0: kd>0: kd - это ядро(0) процессора, ~1 и т.д.
Комментарии
5