之前的試winlogon程式，要在系統登錄檔做些設定。後來看到網上除錯lsass程式

只要按如下方法：

!process 0 0 lsass.exe

.process /p /r 815196c0

我發覺按上面的方法做，連設定登錄檔都不需要了，非常方便。

接著我們就可以按呼叫戶模式的程式一樣下斷點除錯了。

舉個例子，我們在登入的過程中需要輸入使用者名稱、密碼，按如下過程就可以看到輸入的內容了。

我在user32!GetDlgItemTextW下了個斷點，這個API我是在OD下看它的呼叫參考得來的

（你可以複製一份，不執行它，只用來看反彙編，OD反出來的彙編碼還是蠻好的）。

kd>!process 0 0 winlogon.exe 找程序
PROCESS 821661c8  SessionId: 0  Cid: 018c    Peb: 7ffd9000  ParentCid: 0138
    DirBase: 0ceb5000  ObjectTable: e14b1220  HandleCount: 392.
    Image: WINLOGON.EXE

kd> .process /p /r 821661c8 置為當前程序，這樣就可以操作它的虛擬空間了
Implicit process is now 821661c8
.cache forcedecodeuser done
Loading User Symbols
.......................................................
kd> bp user32!GetDlgItemTextW 下斷點
kd> bl
 0 e 77d24305     0001 (0001) USER32!GetDlgItemTextW

kd> g 繼續執行，點選使用者名稱並輸入密碼
Breakpoint 0 hit
USER32!GetDlgItemTextW:
001b:77d24305 8bff            mov     edi,edi
kd> kn 檢視一下堆疊
 # ChildEBP RetAddr 
00 0006e778 758d7f60 USER32!GetDlgItemTextW
01 0006e7c8 758d7e1d MSGINA!AttemptLogon+0x4f
*** WARNING: Unable to verify checksum for winlogon.exe
02 0006e974 0103acc7 MSGINA!LogonDlgProc+0xc61
03 0006e998 77d18734 winlogon!RootDlgProc+0x6e
04 0006e9c4 77d23ce4 USER32!InternalCallWinProc+0x28
05 0006ea30 77d23b30 USER32!UserCallDlgProcCheckWow+0x146
06 0006ea78 77d23d5c USER32!DefDlgProcWorker+0xa8
07 0006ea94 77d18734 USER32!DefDlgProcW+0x22
08 0006eac0 77d18816 USER32!InternalCallWinProc+0x28
09 0006eb28 77d2927b USER32!UserCallWinProcCheckWow+0x150
0a 0006eb64 77d292e3 USER32!SendMessageWorker+0x4a5
0b 0006eb84 758f29c8 USER32!SendMessageW+0x7f
0c 0006ebb0 758f2e0d MSGINA!CLogonDialog::Handle_LOGON_LOGON_USER+0x9f
0d 0006f004 758e39bf MSGINA!CLogonDialog::Handle_WM_LOGONSERVICEREQUEST+0x89
0e 0006f018 758d6c3a MSGINA!_Shell_LogonDialog_DlgProc+0x58
0f 0006f1d0 0103acc7 MSGINA!LogonDlgProc+0x93b
10 0006f1f4 77d18734 winlogon!RootDlgProc+0x6e
11 0006f220 77d23ce4 USER32!InternalCallWinProc+0x28
12 0006f28c 77d23b30 USER32!UserCallDlgProcCheckWow+0x146
13 0006f2d4 77d23d5c USER32!DefDlgProcWorker+0xa8
kd> dd esp 檢視返回地址（$ra）及引數
0006e77c  758d7f60 0003002a 000005df 00b20800
0006e78c  00000200 0003002a 00000000 0008cd10
0006e79c  00000001 0006e7ac 77d1971c 00000000
0006e7ac  0006e7c4 758d7c4e 0002004a 00000000
0006e7bc  0003002a 00b20000 00b20400 0006e974
0006e7cc  758d7e1d 0003002a 0007e368 0007e3f8
0006e7dc  00000111 00000000 0006edf4 771a3dda
0006e7ec  dcbaabcd 00000000 0006e838 771a3dda
kd> g 758d7f60 把這個API執行完才能得到內容
MSGINA!AttemptLogon+0x4f:
001b:758d7f60 57              push    edi
kd> du 00b20800
00b20800  "111222" 這個就是我輸入的密碼
kd> g
Breakpoint 0 hit
USER32!GetDlgItemTextW:
001b:77d24305 8bff            mov     edi,edi
kd> dd esp  檢視返回地址（$ra）及引數
0006e77c  758d7fd1 0003002a 000005de 00b20000
0006e78c  00000200 0003002a 00000000 0008cd10
0006e79c  00000001 0006e7ac 77d1971c 00000000
0006e7ac  0006e7c4 758d7c4e 0002004a 0002004a
0006e7bc  00000000 00b20000 00b20400 0006e974
0006e7cc  758d7e1d 0003002a 0007e368 0007e3f8
0006e7dc  00000111 00000000 0006edf4 771a3dda
0006e7ec  dcbaabcd 00000000 0006e838 771a3dda
kd> g 758d7fd1  把這個API執行完才能得到內容
MSGINA!AttemptLogon+0xb8:
001b:758d7fd1 53              push    ebx
kd> du 00b20000

00b20000  "Administrator" 顯示使用者名稱