Partager via

Débogage de CSRSS

  • Article

Client Server Run-Time Subsystem (CSRSS) est le processus en mode utilisateur qui contrôle la couche sous-jacente pour l’environnement Windows.

Notes

À compter de Windows 10, CSRSS est un processus protégé qui ne peut être débogué qu’en mode noyau.

Pour obtenir des informations générales sur les processus protégés, ainsi que des spécificités supplémentaires sur le code critique protégé par Windows, comme wininit et csrss, consultez Windows Internals by Pavel Yosifovich, Mark E. Russinovich, David A. Solomon et Alex Ionescu.

Afficher les informations de processus CSRSS

Pour examiner CSRSS, certaines informations sont disponibles à l’aide du débogage du noyau.

Utilisez l’extension !process pour afficher des informations sur les processus associés à csrss.exe.

0: kd> !process 0 0 csrss.exe
PROCESS ffffe381a583b080
    SessionId: 0  Cid: 027c    Peb: e0c93ef000  ParentCid: 0270
    DirBase: 115478000  ObjectTable: ffffaa87786b67c0  HandleCount: 722.
    Image: csrss.exe

PROCESS ffffe381a68ab140
    SessionId: 1  Cid: 02f4    Peb: 186a447000  ParentCid: 02dc
    DirBase: 143c0e000  ObjectTable: ffffaa87786b5200  HandleCount: 445.
    Image: csrss.exe

Prenez l’un des processus associés et définissez le contexte sur cet emplacement à l’aide de la commande .process (Définir le contexte de processus).

0: kd> .process /r /p ffffe381a583b080
Implicit process is now ffffe381`a583b080
Loading User Symbols

Utilisez maintenant la commande dt (Type d’affichage) pour afficher directement la structure du processus :

0: kd> dt csrss!_csr_process
   +0x000 ClientId         : _CLIENT_ID
   +0x010 ListLink         : _LIST_ENTRY
   +0x020 ThreadList       : _LIST_ENTRY
   +0x030 NtSession        : Ptr64 _CSR_NT_SESSION
   +0x038 ClientPort       : Ptr64 Void
   +0x040 ClientViewBase   : Ptr64 Char
   +0x048 ClientViewBounds : Ptr64 Char
   +0x050 ProcessHandle    : Ptr64 Void
   +0x058 SequenceNumber   : Uint4B
   +0x05c Flags            : Uint4B
   +0x060 DebugFlags       : Uint4B
   +0x064 ReferenceCount   : Int4B
   +0x068 ProcessGroupId   : Uint4B
   +0x06c ProcessGroupSequence : Uint4B
   +0x070 LastMessageSequence : Uint4B
   +0x074 NumOutstandingMessages : Uint4B
   +0x078 ShutdownLevel    : Uint4B
   +0x07c ShutdownFlags    : Uint4B
   +0x080 Luid             : _LUID
   +0x088 ServerDllPerProcessData : [1] Ptr64 Void

L’extension !peb peut être utilisée pour afficher des informations supplémentaires sur le bloc d’environnement de processus (PEB).