标签：02 0x30 链表 采集 DbgkpSendApiMessage 事件 调试程序 异常 调试器

【太多事情要做了，这部分难度对我来说又很大，先写一下大体框架，到时候具体函数逆向分析过程给写出来】

1. 调试器会接收到被调试程序什么事件？

　　答：并不是被调试程序芝麻大点的事都会往调试器上发，对于调试器来讲，其只接收七种事件。

2. 被调试程序使用什么函数来进行事件的采集并发送给调试器。

　　答：使用Dbgk开头的一类函数。在各类事件的必经之路上创建一个函数调用，一旦经过就判断DebugPort，如果处于调试状态就收集调试事件，然后发送给调试器。

　　　比如这是 PspExitThread，线程退出与进程退出的必经之路。

3.DbgkpSendApiMessage如何实现发送消息的？

 　　　EvenList 处于 +0x30位置，DbgkpSendApiMessage会调用 _DbgkpQueueMessage，取出_EPROCESS+DebugPort处的 DebugObject，然后偏移+0x30取出链表，之后链表操作将DebugEvent插入到链表当中。

标签：02,0x30,链表,采集,DbgkpSendApiMessage,事件,调试程序,异常,调试器
来源： https://www.cnblogs.com/onetrainee/p/11894032.html

本站声明： 1. iCode9 技术分享网（下文简称本站）提供的所有内容，仅供技术学习、探讨和分享；
2. 关于本站的所有留言、评论、转载及引用，纯属内容发起人的个人观点，与本站观点和立场无关；
3. 关于本站的所有言论和文字，纯属内容发起人的个人观点，与本站观点和立场无关；
4. 本站文章均是网友提供，不完全保证技术分享内容的完整性、准确性、时效性、风险性和版权归属；如您发现该文章侵犯了您的权益，可联系我们第一时间进行删除；
5. 本站为非盈利性的个人网站，所有内容不会用来进行牟利，也不会利用任何形式的广告来间接获益，纯粹是为了广大技术爱好者提供技术内容和技术思想的分享性交流网站。