openthread

Windows内核分析索引目录 ：https://www.cnblogs.com/onetrainee/p/11675224.html 内存断点与硬件断点 一、内存断点 　　内存断点的本质是 修改页属性，触发页异常，走0E号中断 。 　　1. 设置内存断点： 　　　 　页属性如下： 　　　　#define PAGE_NOACCESS 0x01 　　　　#define PAGE_READONLY 0x02 　　　　#define PAGE_READWRITE 0x04 　　　　#define PAGE_WRITECOPY 0x08 　　　　#define PAGE_EXECUTE 0x10 　　　　#define PAGE_EXECUTE_READ 0x20 　　　　#define PAGE_EXECUTE_READWRITE 0x40 　　　　#define PAGE_EXECUTE_WRITECOPY 0x80 　　　　我们调用 VirutalProtectEx 函数来修改页属性。 　　　　比如，当我们设置内存访问断点，我们将相应的地址所在的页设置为 PAGE_NOACCESS。 　　　　　　 VirtualProtectEx(handle, (PVOID)debugAddress, 1 , PAGE_NOACCESS, &oldProtote) 　　　　之后

关于Win7 x64下过TP保护(应用层)（转） 调试对象：DXF 调试工具：CE、OD、PCHunter、Windbg 调试先言：TP的应用层保护做得比较多，包括对调试器的检测，比如CE工具会被DXF报非法。有的保护还是内核与应用层交替保护。 应用层： 1、TP让调试器卡死(内核互动) 如图，TP会检测调试器让调试器暂停运行，实际上就是暂停了调试器所有的线程而已。 这个保护是今年7月份新出的，所以我这里重点分析下，我刚开始调试的时候就发现OD会莫名其妙地卡死。 打开PCHunter发现OD的进程线程全部被暂停了。 开始我认为是TP调用了SuspendThread(函数:暂停指定线程)来让调试器卡死的。 于是我就打开Windbg附加并在这个函数上下断点，发现没有断下来。 然后我认为是调用了接口函数NtSuspendThread(函数:暂停指定线程<内核接口>) 但是还是没有断下。所以排除了DXF在Ring3调用了暂停线程让OD卡死。 于是我思考了一下，打开虚拟机，简单过了双机调试保护（一段时间后还是会蓝屏），在DXF启动之后， 在Windbg输入!process OD的进程ID 来查看线程的调用堆载，我发现了很有意思的东西。 SuspendCount被置为了1，再看看调用堆载。 原来TP在Ring0中调用了KiSuspendThread来暂停OD的线程啊。怪不得断不下来。

【今日推荐】：为什么一到面试就懵逼！>>> 1. 安装运行时包 $ sudo apt-get install dbus -y 2. 安装readline库 $ apt-get cache search libreadline (找出当前发行版的libreadline包名) $ sudo apt-get install libreadline7 -y (笔者找到的是libreadline7) 3. 安装依赖包 $ sudo apt-get install gcc g++ libdbus-1-dev libboost-dev libreadline-dev libtool autoconf autoconf-archive -y 4. 获取源码 $ git clone https://github.com/openthread/wpantund.git 5. 编译安装 $./bootstrap.sh && ./configure && make -j<nproc> V=s && make install 来源： oschina 链接： https://my.oschina.net/u/4274818/blog/3232776