关于调试器中int3断点引发异常的思考

INT3断点

INT3断点是利用0Xcc指令实现的，cpu在执行0xcc指令时会引发断点异常调试器会捕捉这个异常。

INT3断点引发的异常属于陷阱型异常，在执行完0xcc指令后eip指向下一条指令。但是系统对int3有特殊处理，当异常第一次分发时如果调试器没有处理那么第二次异常分发之前系统会令eip-1。

下面写个调试程序来看一下。

#include <Windows.h>
#include <iostream>using namespace std;
int flag = 0;                              //标志是第一次断点异常，还是第二次断点异常
int main()
{
        char a[256] = {0};
        cout<<"请输入需要调试的目标程序的路径：";
        cin>>a;
        PROCESS_INFORMATION pi;            //接受新进程的一些有关信息
        STARTUPINFO si;                    //指定新进程的主窗体如何显示
        DEBUG_EVENT devent;                //消息事件
        CONTEXT     stContext;               //线程信息块

        GetStartupInfo(&si);

        CreateProcessA(
         a,
         NULL,
         NULL,
         NULL,
         FALSE,                                              // 不可继承
         DEBUG_ONLY_THIS_PROCESS | DEBUG_PROCESS,            // 调试模式启动
         NULL,
         NULL,
                 &si,
         &pi );
        cout<<"创建进程成功"<<endl;

        while(TRUE)
        {
                if(WaitForDebugEvent(&devent, INFINITE))
                {
                        switch(devent.dwDebugEventCode)
                        {
                        case EXCEPTION_DEBUG_EVENT:
                                switch(devent.u.Exception.ExceptionRecord.ExceptionCode)
                                {
                                case EXCEPTION_BREAKPOINT:                                 //断点异常

                                        if(devent.u.Exception.dwFirstChance == 1)          //第一次异常分发
                                        {
                                                cout<<"第一次异常。  ";
                                                cout<<"eip:";
                                                stContext.ContextFlags = CONTEXT_FULL;
                                                GetThreadContext(pi.hThread, &stContext);
                                                int n1 = GetLastError();
                                                cout<<stContext.Eip<<endl;
                                                flag = 1;
                                        }
                                        if(devent.u.Exception.dwFirstChance == 0)          //第二次异常分发
                                        {
                                                cout<<"第二次异常。  ";
                                                cout<<"eip:";
                                                GetThreadContext(pi.hThread, &stContext);
                                                cout<<stContext.Eip<<endl;
                                                flag = 0;
                                        }
                                        break;
                                }
                                break;
                        }

                }
                if(flag == 1)                                                //如果是第一次碰见int3断点异常，我们不处理他，让他直接继续进行第二次异常分发
                        ContinueDebugEvent(devent.dwProcessId, devent.dwThreadId, DBG_EXCEPTION_NOT_HANDLED);
                else                                                         //如果是第二次碰见int3断点异常或者是其他调试事件我们直接返回让程序继续运行
                {
                        flag = 0;
                        ContinueDebugEvent(devent.dwProcessId, devent.dwThreadId, DBG_CONTINUE);
                }
        }
        return 0;
}

将一个不存在异常处理的程序第一条指令变为int3指令。

用上方程序作为例子进行调试，因为我们在第二次异常分发的时候返回DBG_CONTINUE来让系统认为我们处理了异常所以eip又会指向int3指令处，至此以后一直循环产生异常

OD中对int3的处理

我们把刚才的例子程序在od中运行并设置int3异常不交给程序处理



运行程序发现eip指向int3的下一条指令，这说明OD在int3异常第一次分发时因为eip指向了下一条指令，这时od返回DBG_CONTINUE意思是异常不交给程序处理直接返回。

如果设置忽略int3异常，即int3异常传递给程序处理。

因为程序没有异常处理所以第一次异常传给程序后，异常又会进行二次分发。我们运行程序发现eip依然指向int3指令处，继续运行发现程序依然指向int3处，这说明od默认第二次异常返回DBG_CONTINUE然后一直循环产生int异常（和我们文章开始写的那个调试程序一样）。

如果第二次异常时od没有返回DBG_CONTINUE来向系统说明异常已处理，而返回DBG_EXCEPTION_NOT_HANDLED的话异常将不会继续分发，程序将会被终止运行。（异常传到顶层异常处理处，执行了默认的异常处理函数结束运行）

我们把文章开始的调试器修改一下，把让第二次异常处理时返回DBG_EXCEPTION_NOT_HANDLED。

                if(flag == 1)                                                //如果是第一次碰见int3断点异常，我们不处理他，让他直接继续进行第二次异常分发
                        ContinueDebugEvent(devent.dwProcessId, devent.dwThreadId, DBG_EXCEPTION_NOT_HANDLED);
                else                                                         //如果是第二次碰见int3断点异常或者是其他调试事件我们直接返回让程序继续运行
                {
                        flag = 0;
                        ContinueDebugEvent(devent.dwProcessId, devent.dwThreadId,DBG_EXCEPTION_NOT_HANDLED);
                }

再次拿原来的那个程序当例子进行调试，我们发现在第二次异常调试器返回DBG_EXCEPTION_NOT_HANDLED后调试程序结束运行。

开始调试前

开始调试后，异常第二次分发后异常没有继续分发，并且程序结束运行