DebugPort一直被清零如何简单的处理

DebugPort位于 eprocess+bc处

然后用windbg或者Kernel Detective取目标进程的

eprocess的地址，现我的地址为 81923020

然后请出伟大的 softice 下 bpm 81923020+bc

1. .text:000113DA                 push ebx
   
2. .text:000113DB                 push esi
   
3. .text:000113DC                 mov     esi, offset dword_1A190
   
4. .text:000113E1                 push edi
   
5. .text:000113E2                 mov     ecx, esi
   
6. .text:000113E4                 mov     bl, 1
   
7. .text:000113E6                 call ds:KfAcquireSpinLock
   
8. .text:000113EC                 call loc_113F5
   
9. .text:000113EC ; ---------------------------------------------------------------------------
   
10. .text:000113F1                 dd 7402F883h          ; 垃圾代码
    
11. .text:000113F5 ; ---------------------------------------------------------------------------
    
12. .text:000113F5
    
13. .text:000113F5 loc_113F5:                            ; CODE XREF: .text:000113EC p
    
14. .text:000113F5                 add     esp, 4
    
15. .text:000113F8                 mov     ecx, out_P_eprocess_10
    
16. .text:000113FE                 mov     edi, offset out_P_eprocess_10
    
17. .text:00011403                 cmp     ecx, edi
    
18. .text:00011405                 jz    short loc_1141F
    
19. .text:00011407                 xor     bl, bl
    
20. .text:00011409                 push ebp
    
21. .text:0001140A
    
22. .text:0001140A loc_1140A:                            ; CODE XREF: .text:0001141C j
    
23. .text:0001140A                 mov     ebp, [ecx-10h]// eprocess 地址
    
24. .text:0001140D                 add     ebp, debugproc_BC // add ebp,bc
    
25. .text:00011413                 xor     edx, edx
    
26. .text:00011415                 xchg edx, [ebp+0]//清0
    
27. .text:00011418                 mov     ecx, [ecx] // 不出意外断在这
    
28. .text:0001141A                 cmp     ecx, edi
    
29. .text:0001141C                 jnz     short loc_1140A
    
30. .text:0001141E                 pop     ebp
    
31. .text:0001141F
    
32. .text:0001141F loc_1141F:                            ; CODE XREF: .text:00011405 j
    
33. .text:0001141F                 mov     dl, al
    
34. .text:00011421                 mov     ecx, esi
    
35. .text:00011423                 call ds:KfReleaseSpinLock
    
36. .text:00011429                 pop     edi
    
37. .text:0001142A                 pop     esi
    
38. .text:0001142B                 mov     al, bl
    
39. .text:0001142D                 pop     ebx
    
40. .text:0001142E                 retn

复制代码

Kernel Detective 是个不错的工具，可以随便修改内核代码！