内核调试引擎简介

古月不傲

内核调试引擎就是调试器与被调试内核之间的桥梁。
Windows启动过程中会调用KdInitSystem函数让内核调试引擎初始化。
当系统分发异常时会调用KiDebugRoutinue变量所指向的函数(KdpTrap或KdpStub)。
系统的时间更新函数KeUpdateRunTime会调用KdCheckForDebugBreak来检查调试器是否发出了中断命令。
内核调试引擎使用一个数组KdpBreakpointTable来记录断点的插入、移除。
内核调试API：调试器与内核调试引擎通过API接口通信，调用API要通过发送数据包、数据包中含有访问服务号和参数，返回结果也是通过数据包回递。
系统内核控制函数：KdEnterDebugger负责将系统内核中断到调试器，KdExitDebugger负责恢复系统运行。
管理函数：KdEnableDebugger和KdDisableDebugger用于启用或禁止内核调试引擎，KdChangeOption修改选项。

WindowsXP以前，内核调试引擎的所有函数位于NTOSKRNL,EXE中。
之后，内核调试引擎的通信部分被拆分到了一个单独的DLL模块中，KDCOM.DLL。
KDCOM.DLL也会引用NTOSKRNL中导出的符号和函数，因此两者是互相依赖关系，
当NTLDR加载任意其一时会加载两者。
KDCOM.DLL中最重要的两个函数KdSendPacket、KdReceivePacket用于发包和收包。
通信方式分为：串口、1394、USB，分别对于KDCOM.DLL、KD1394.DLL、KDUSB.DLL，一般采用第一种方式，主要原因是内核调试通信协议是面向字节的，其他两种面向数据包。

Windows启动过程(简单概述 不像Windows内核原理实现那么详细...)
计算机开机后，先执行BIOS或EFI对硬件进行检测和平台初始化后，将控制权转交给磁盘上的引导程序，NTLDR。
接着NTLDR首先对CPU做必要的初始化工作，实模式到保护模式，启用分页机制，通过配置文件boot.ini或BCD(boot config data)得到Windows系统目录并加载内核模块，加载ntoskrnl或ntkrnlpa并检查它的导入表加载所依赖的文件，其中包括内核调试通信DLL(KDCOM、KD1394或KDUSB)。加载程序会根据启动配置加载其中的一个，并将模块统一成KDCOM。

而后NTLDR读取注册表的System Hive加载其中键值为0的驱动程序，包括磁盘驱动程序。
完成工作后，NTLDR从内核文件的PE头找到它的入口函数，KiSystemStartup函数，
调用这个函数。调用时传递LOADER_PARAMETER_BLOCK数据结构，内核文件得到控制权开始执行。
KiSystemStartup执行过程：
1、调用HalInitializeProcessor初始化CPU
2、调用KdInitSystem初始化内核调试引擎
3、调用KiInitializeKernel初始化内核->
(1) 调用KiInitSystem初始化系统全局数据结构
(2) 调用KiInitializeProcess创建并初始化Idle进程
(3) 调用KeInitializeThread初始化Idle线程
(4) 调用ExpInitializeExecutive对执行体层(管理层)进行阶段0初始化
① 调用MmInitSystem构建页表和内存管理器的基本数据结构
② 调用ObInitSystem建立名称空间
③ 调用SeInitSystem初始化token对象
④ 调用PsInitSytstem对进程管理器做阶段0初始化
⑤ 调用PpInitSystem让即插即用管理器初始化设备链表等等

KiInitializeKernel返回后，KiSystemStartuP降低IRQL至DISPATCH_LEVEL(非分页内存线程切换级别)，然后跳到KiIdleLoop，退化为Idle进程中的第一个Idle线程。
对于多CPU系统，每个CPU都会执行KiInitializeKernel，但只有第一个CPU执行所有初始化工作，其他CPU只负责初始化Idle部分，因为每个CPU都有Idle线程。
全局变量KeNumberProcessors标识CPU的个数。
PsInitSytstem阶段0过程：
1、定义进程和线程对象类型
2、建立记录系统中所有进程的链表结构，并用PsAvtiveProcessHead全局变量指向这个链表，此后Windbg!process命令才能工作
3、为初始的进程创建一个进程对象PsIdleProcess，并命名为Idle
4、创建系统进程和线程，并将Phase1Initialization函数作为线程起始地址
Phase1Initialization虽然以创建，但是由于IRQL是2，所以要等到KiInitializeKernel返回后。
阶段1初始化过程：
调用KeStartAllProcessors初始化所有CPU，构建CPU的数据结构
调用HalStartNextProcessor将该结构赋值给下一个CPU
再次调用KdInitSystem，并调用KdDebuggerInitialize1初始化KDCOM等
阶段1结束前，创建第一个进程，会话管理器SMSS.EXE
SMSS.EXE初始化Windows子系统，创建Windows子系统和登录进程Winlogon.exe
Winlogon.exe创建LSASS进程和系统服务进程Services.exe并显示登录画面，启动基本完成。


第一次调用KdInitSystem
1、初始化调试器数据链表，使用全局变量KdpDebbugerDataListHead指向这个链表
2、初始化KdDebuggerDataBlocK数据结构，改结构包含内核基地址、模块链表指针、调试器数据链表指针等，调试器需要读取这些信息以了解目标系统。
typedef struct _KDDEBUGGER_DATA32 ->KdDebuggerDataBlocK
{
    DBGKD_DEBUG_DATA_HEADER32 Header;
    ULONG KernBase;
    ULONG BreakpointWithStatus;
    ULONG SavedContext;
    USHORT ThCallbackStack;
    USHORT NextCallback;
    USHORT FramePointer;
    USHORT PaeEnabled:1;
    ULONG KiCallUserMode;
    ULONG KeUserCallbackDispatcher;
    ULONG PsLoadedModuleList;
    ULONG PsActiveProcessHead;
    ULONG PspCidTable;
    ULONG ExpSystemResourcesList;
    ULONG ExpPagedPoolDescriptor;
    ULONG ExpNumberOfPagedPools;
    ULONG KeTimeIncrement;
    ULONG KeBugCheckCallbackListHead;
    ULONG KiBugcheckData;
    ULONG IopErrorLogListHead;
    ULONG ObpRootDirectoryObject;
    ULONG ObpTypeObjectType;
    ULONG MmSystemCacheStart;
    ULONG MmSystemCacheEnd;
    ULONG MmSystemCacheWs;
    ULONG MmPfnDatabase;
    ULONG MmSystemPtesStart;
    ULONG MmSystemPtesEnd;
    ULONG MmSubsectionBase;
    ULONG MmNumberOfPagingFiles;
    ULONG MmLowestPhysicalPage;
    ULONG MmHighestPhysicalPage;
    ULONG MmNumberOfPhysicalPages;
    ULONG MmMaximumNonPagedPoolInBytes;
    ULONG MmNonPagedSystemStart;
    ULONG MmNonPagedPoolStart;
    ULONG MmNonPagedPoolEnd;
    ULONG MmPagedPoolStart;
    ULONG MmPagedPoolEnd;
    ULONG MmPagedPoolInformation;
    ULONG MmPageSize;
    ULONG MmSizeOfPagedPoolInBytes;
    ULONG MmTotalCommitLimit;
    ULONG MmTotalCommittedPages;
    ULONG MmSharedCommit;
    ULONG MmDriverCommit;
    ULONG MmProcessCommit;
    ULONG MmPagedPoolCommit;
    ULONG MmExtendedCommit;
    ULONG MmZeroedPageListHead;
    ULONG MmFreePageListHead;
    ULONG MmStandbyPageListHead;
    ULONG MmModifiedPageListHead;
    ULONG MmModifiedNoWritePageListHead;
    ULONG MmAvailablePages;
    ULONG MmResidentAvailablePages;
    ULONG PoolTrackTable;
    ULONG NonPagedPoolDescriptor;
    ULONG MmHighestUserAddress;
    ULONG MmSystemRangeStart;
    ULONG MmUserProbeAddress;
    ULONG KdPrintCircularBuffer;
    ULONG KdPrintCircularBufferEnd;
    ULONG KdPrintWritePointer;
    ULONG KdPrintRolloverCount;
    ULONG MmLoadedUserImageList;
} KDDEBUGGER_DATA32, *PKDDEBUGGER_DATA32;
根据LOADER_PARAMETER_BLOCK结构寻找调试有关的选项，保存上下文。
3、初始化全局变量
(1) KdPitchDebugger：布尔类型，标识发生异常时是否需要被内核调试，当启动项包含/NODEBUG选项时，该变量为TURE。
(2) KdDebuggerEnabled：布尔类型，标识内核调试是否被启用，当启动项包含/DEBUG或/DEBUGPORT且不包含/NODEBUG时，该变量为TRUE。
(3) KiDebugRoutine：函数指针类型，用来记录内核调试引擎的异常处理回调函数，当内核调试引擎活动时，指向KdpTrap,否则指向KdpStub。
(4) KdpBreakpointTable：结构数组类型，用来记录代码断点，每个元素为一个BREAKPOINT_ENTRY数据结构，用来描述断点的信息。
第二次调用KdInitSystem
调用KeQueryPerformanceCounter来对全局变量KdPerFormanceCounterRate(性能计数器的频率)进行初始化，然后返回。

Meng_X

学习了

xiahhhr

感谢感谢，看完感觉明了不少