http://flier_lu.blogone.net/?id=1307208
win32 调试接口设计与实现浅析
所谓调试器实际上是一个很宽泛的概念，凡是能够以某种形式监控其他程序执行过程的程序，都可以泛称为调试器。在windows平台上，根据调试器的实现原理大概可以将之分为三类：内核态调试器、用户态调试器和伪代码调试器。
内核态调试器直接工作在操作系统内核一级，在硬件与操作系统之间针对系统核心或驱动进行调试，常见的有softice、windbg、wdeb386和i386kd等等；用户态调试器则通过操作系统提供的调试接口，在操作系统和用户态程序之间针对用户态程序进行调试，常见的有各种开发环境如vc/delphi自带的调试器，ollydbg等等；伪代码调试器则使用目标系统自定义的调试接口，调试由用户态程序支持的脚本语言或虚拟机代码，常见的如jvm/clr的调试工具、vb的pcode调试器、active script调试器等等。
因为伪代码调试器跟具体系统实现相关性太强，不具备原理层面的通用性，本系列文章尽量不涉及其内容，以后如果有机会可以再讨论一下jvm/clr/active script提供的调试接口；用户态调试器应用最广泛，参考资料也较为完整，我会花较大精力和大家探讨；核心态调试器则跟操作系统结合较为紧密，加上我也不是太熟悉，只能尽力而为了，呵呵。欢迎大家提出批评指正意见和建议 :)
此外强烈推荐john robbins在msdn的bugslayer专栏，以及其所著的<debugging applications>一书（中文版《应用程序调试技术》），此书中对调试器从原理到应用都有很全面的讲解。
[1] 用户态调试器结构初探
用户态调试器直接使用win32 api提供的调试接口，遵循win32的事件驱动的设计思想，其实现思路非常简单，基本框架伪代码如下：
以下为引用?lt;/b>
//启动要调试的进程或挂接调试器到已运行的进程上
createprocess(..., debug_process, ...) or debugactiveprocess(dwprocessid)
debug_event de;
bool bcontinue = true;
dword dwcontinuestatus;
while(bcontinue)
{
bcontinue = waitfordebugevent(&de, infinite);
switch(de.dwdebugeventcode)
{
...
default:
{
dwcontinuestatus = dbg_continue;
break;
}
}
continuedebugevent(de.dwprocessid, de.dwthreadid, dwcontinuestatus);
}
在调试器开始调试的时候，会启动被调试程序的新进程或者挂接(attach)到一个已运行进程上，此时win32系统会启动调试接口的服务器端；然后调试器调用waitfordebugevent函数等待调试服务器端的调试事件被引发；调试器根据调试事件进行相应的处理；最后调用continuedebugevent函数请求调试服务器继续执行被调试进程，以等待并处理下一个调试事件。
首先我们大致看看调试接口的服务器端的实现思路：调试服务的服务器端接口实际上是存在于被调试进程的调试端口(debug port)，此核心对象实现上跟win32的完成端口类似，都是通过一个核心队列实现的lpc端口。启动调试服务器实际上就是挂接win32的调试子系统到被调试进程，并在被调试进程内构造调试端口。调试器通过调试端口与win32的调试子系统通讯；调试子系统响应系统操作所引发的调试事件，并通过调试端口将调试事件分发给核心态/用户态调试器。
建立被调试程序的新进程时，需要在createprocess函数的dwcreationflags参数设置debug_only_this_process或debug_process标志位，以表示新建的进程需要被调试。createprocess函数的调用路径如下
以下为引用：
createprocessa/createprocessw (kernel32.dll)
createprocessinternalw (kernel32.dll)
ntcreateprocessex (ntoskrnl.dll)
pspcreateprocess (ntos\ps\create.c:969)
createprocessinternalw函数根据传入的dwcreationflags参数，决定是否要构造端口核心对象用于调试端口，并设置peb的相应调试标志；pspcreateprocess会根据传入参数的调试选项和端口对象句柄，选择是否创建目标进程的调试端口；如果要创建则将传入的端口句柄转换成内核对象引用，保存在被调试程序进程的eprocess->debugport字段里。
win32 api提供的isdebuggerpresent函数就是通过判断createprocessinternalw函数在peb中设置的标志位来判断当前进程是否被调试的。isdebuggerpresent函数伪代码如下：
以下为引用：
bool isdebuggerpresent(void)
{
return ntcurrentteb()->processenvironmentblock->beingdebugged;
}
