探秘INT3指令

白刃玄衣及

简介

INT3指令是专门用来支持调试的一条指令，它对应的呆板码是0xCC。当cpu执行到这条指令是会产生异常并调用相应的异常处置惩罚程序（3号中断）进行进一步的处置惩罚。
详细分析

int3指令原理

cpu在执行完int3指令后会引发异常，此异常会使操作体系从中断向量表中调用3号中断处置惩罚程序，此中断处置惩罚程序即函数 nt!KiTrap03( ),此函数进行一些处置惩罚后又会继续调用nt!KiDisPatchException( )函数来进行异常的分发。而此函数会先去检查是否存在调试器（即程序是否正在被调试），如果存在调试器则把异常交给调试器，调试器处置惩罚完之后在返回到。如果调试器不处置惩罚或者就不存在调试器则异常会传递到程序自身的异常处置惩罚中（如果最后依然没处置惩罚就会进行异常的第二次分发）。

int3指令在调试器中的应用

我们都知道调试器中有int3断点，而int3断点就是基于int3指令实现的。以OD为例当我们在某一汇编指令处设下断点后，调试器会把所设断点地点处的第一个字节改为0xCC（即INT3指令），并把原字节保存。之以是我们看起来OD的此地点处字节没有发生任何变化是因为OD为了维持汇编代码的可读性并没有将改变后的指令进行重新反汇编。我们可以利用如下方法来查看其地点处的实际数据。

起首我们用OD随便加载一个程序，我们在入口点下发任意一条汇编指令处下断点，我们发现此地点处的数据并没有变化，这是OD为了维护代码可读性，实际此地点数据已经变为了0xCC

我们接下来用把即将运行的第一条指令修改为 mov  al , byte ptr ds:[0x401830]。也就是将此断点地点处的值读到al中

F8执行此代码后，我们发现eax值为0x000000CC。证明此断点地点处的值已经被修改为0xCC。

以是当cpu执行到此断点时就会执行0xCC（即INT3指令），接着产生异常去执行函数nt!KiTrap03( )，接着会调用nt!KiDisPatchException( )函数并将异常分发给调试器，其刚执行完0xCC此时eip指向0xCC的下一个字节，调试器会让eip减一，然后eip重新指向0xCC（断点处）而OD调试器将先还原此断点处的原字节，然后使返回程序将停在此断点处等待用户的进一步操作。我们可以通过如下方法进行验证。

接着上一次我们分析的程序，我们把断点处的指令更改为mov  al , byte ptr ds:[0x401830]。

F8向下执行，当执行完断点处的指令后，我们发现al的值A0。说明断点处的字节已被修复。

然后为了使下次运行到此处时断点还有效，程序会利用单步异常来把断点处的值在该为0xCC。其在执行完断点处的指令后，会产生单步异常从而被调试器捕捉，然后调试器会将此断点处的值更改为0xCC。我们可以利用如下方法验证。

我们将断点后的指令改为mov  al , byte ptr ds:[0x401830]，然后F8执行代码后发现al的值为0xCC，说明断点已在执行完断点处指令后恢复。

int3与它的兄弟int 3

int3指令的呆板码为0xCC ,而int 3也就时我们所相识的软中断int n的呆板码为 0xCD 0x03。二者不但时呆板码不同，体系会对int3指令一些特别待遇而int  3却没有此待遇。
其不同在调试器调试过程中也有反映，我们下面利用OD来分析一下在调试器中其会有哪些不同。
在分析之前我们要设置一下OD，让OD忽略int3断点。这样OD就不会处置惩罚int3产生的异常了。

我们随便拿一个程序用OD分析，我们发程序入口的指令改为int3（即0xCC）

然后我们运行程序我们发现eip照旧指向此地点处。缘故原由是产生异常后体系调用了在第一次请求调试器处置惩罚异常时异常没被处置惩罚（前面我们设置的忽略异常）然后异常进行第二次分发体系会自动让eip - 1（注意这里时体系做的，而不是调试器做的，这是时int3产生的异常不同于其他异常的一点），以是返回后eip还指向地点处。

我们接下来把此地点处指令改为  int   3。即字节0xCD  0x03，其余的自动用nop填充。

然后我们运行代码发现eip指向了地点0x004010c3即入口地点+1处。缘故原由是我们在执行完int   3指令后也产生异常，体系同样会在第二次分发异常时让eip - 1。但是int   3 指令是两个字节，减一后eip指向的是字节0x03。如此一来在返回后OD会重新对eip后面的代码进行组合和反汇编。

如果我们继续执行代码则会发交易想不到的异常，因为后面的代码都是错误的反汇编代码。
对于上述所说的int3产生的异常如果第一次调试器不处置惩罚，第二次分发的时间体系会让eip - 1的操作我们进行验证
我专门写了个调试器进行验证。代码如下
#include #include using namespace std;int flag = 0;                              //标记是第一次断点异常，照旧第二次断点异常int main(){        char a[256] = {0};        couta;        PROCESS_INFORMATION pi;            //接受新进程的一些有关信息        STARTUPINFO si;                    //指定新进程的主窗体如何显示        DEBUG_EVENT devent;                //消息事件        CONTEXT     stContext;               //线程信息块        GetStartupInfo(&si);        CreateProcessA(         a,              NULL,           NULL,           NULL,           FALSE,                                              // 不可继承         DEBUG_ONLY_THIS_PROCESS | DEBUG_PROCESS,            // 调试模式启动                              NULL,           NULL,                 &si,         &pi );        cout