关于 WinDbg 调试驱动时的一个小问题

问题来自我在看雪BBS上发的一个求助贴 【求助】关于系统回调 PsSetLoadImageNotifyRoutine 的时机问题。

http://bbs.pediy.com/showthread.php?t=161196

 

原由是我在做 IAT 注入时，发现当系统回调 PsSetLoadImageNotifyRoutine 函数的时候。我用 WinDbg 内存显示，发现那时候PE文件一些节并没有映射到内存中。从而认为那些无效内存是系统无法利用的。进而产生了疑惑。

其实DDK里说得比较明白了，原文如下：

The PsSetLoadImageNotifyRoutine routine registers a driver-supplied callback that is subsequently notified whenever an image is loaded (or mapped into memory).

那为什么会出现WinDbg内存显示不了的情况呢。

我验证后发现，这应该是WinDbg的一个Bug。验证方法如下。

 char tmp[16];

 RtlCopyMemory(&tmp[0],0x01000000,16);
 RtlCopyMemory(&tmp[0],0x01007000,16);
 RtlCopyMemory(&tmp[0],0x01009000,16);
 RtlCopyMemory(&tmp[0],0x0100A000,16);
 RtlCopyMemory(&tmp[0],0x0100B000,16);
 RtlCopyMemory(&tmp[0],0x0100D000,16);

其中PE文件的基址是0x01000000,三个节的偏移分别是： 0x01001000 ，大小0x7700多；0x01009000 ，大小0x1B00多；0x0100B000 ，大小0x7F00多。

在断点过后，单步执行，发现并没有非法访问内存的情况出现。并且有数据拷贝到 tmp 变量。

于是。认定这是一个BUG，实际上，系统已经映射了相关节表了。