关闭调试器

你可以通过简单的关闭控制台窗口来关闭内核调试器。当然，更好的关闭办法是使用q命令，这儿“q”代表着quit。

更多的调试工具

在本书的光盘中，你可以找到两个由我的e-friends贡献的非常有价值的调试工具。我很高兴他们允许我将完整版本放入我的光盘中。Wayne J. Radburn的 PE and COFF文件浏览器（PEView）是本书读者的一个特殊免费工具。Jean-Louis Seigne的Multi-Format Visual Disassembler（MFVDasm）一个限时版本。本节将简单介绍这两个工具。

MFVDASM：可视化多格式反编译器

MFVDasm不仅仅是个汇编列表生成器。事实上，它比汇编代码浏览器增加了多个很不错的导航特性。如图1-8所示，那是我使用MFVDasm察看Windows 2000 I/O管理函数IoDetachDevice()的截图。图中并没有显示出屏幕上的颜色。例如，所有的函数表以及特定地址的jumps和calls都被显示为红色。针对其余地址（没有相关导出符号的地址）的jumps和calls显示为蓝色。引用了从其他模块动态导出的符号的显示为紫色。所有可到达的目标地址（reachable destinations）都加上了下划线，这意味着你可以通过单击他们来滚动代码窗口到达其地址。使用工具栏上的Back和Forward按钮，你能回顾看过的东东。这很像在IE中察看浏览过的网页。

PEView --- PE和COFF文件察看器

尽管MFVDasm展示了PE（Portable Executable）文件的很多内部结构的细节，但其侧重于代码的查看。另一方面，PEView虽然不能展示比代码段的16进制码更进一步的细节，但它能非常详细的显示文件结构的细节。如图1-9所示。这是我用PEView察看ntoskrnl.exe的截图。可以看出PEView采用三种形式来显示ntoskrnl.exe的多个部分。如果你单击左边的一个叶结点，在右面就会显示与该项相关的所有信息。在图1-9种，我选择了IMAGE_OPTIONAL_HEADER结构，该结构是IMAGE_NT_HEADERS结构的成员之一。

译注：还有两段我没有译，和本书讨论的主题无关，感兴趣的话，去看原文吧。J

Windows 2000调试接口

对于喜欢研究系统内核的人来说，内核调试器是一个非常强大的工具。不过，它的界面有些简单。有时你可能希望有更强大的命令。很幸运，Windows 2000提供了两个完整的调试接口文档，使得你可以在你的程序中加入调试功能。这些接口远算不上豪华（但他们得到了微软官方文档的祝福 J）。在本节中，我将带你进行调试接口一日游，向你展示这些文档可以为你做什么以及你如何从这些文档中得到更多东东。

psapi.dll、imagehlp.dll和dbghelp.dll

长久以来，Windows NT由于缺乏对Windows 95的ToolHelp32接口的支持而备受指责。可能评论家们并不都知道Windows NT 4.0提供了其独有的调试接口---内建于系统组件psapi.dll（随Win32 SDK一起发布）中。随此DLL一起发布的还有imagehlp.dll和dbghelp.dll以及针对NT/2000的调试接口的官方文档。PSAPI是Process Status Application Programming Interface的首字母缩写，此接口提供了14个函数用于获取有关设备驱动程序、进程、进程的内存使用情况和其加载的模块、工作集、内存映射文件的系统信息。psapi.dll同时支持ANSI和Unicode字符串。

其余两个调试DLLs---imagehlp.dll和dgbhelp.dll涵盖了不同的工作范围。二者都导出了相似的函数集合，区别较大的是imagehlp.dll，它提供了更多函数，但dbghelp.dll提供了可重新发布的组件。这意味着微软允许你将dbghelp.dll放入你自己的调试程序的安装包中。如果选择使用imagehlp.dll，你必须获取在目标系统已安装的一个。这两个DLL都提供了丰富的函数来分析和维护PE文件。二者最显著的特性是能很好的使用符号文件（就是你为内核调试器准备的那些）。为了指导你该选择哪个DLL，我将这两个DLL的所有导出函数汇总到了表1-1，N/A表示不支持。

上一页  [1] [2] [3]