4. 基于地址的条件断点：使用 bp 命令结合条件表达式、在特定内存地址触发时暂停

在 Windows 内核调试中，无条件断点（如 bp 直接跟地址）会在每次执行到该地址时中断，这在高频调用的函数或循环中会导致大量不必要的暂停。基于地址的条件断点允许你指定一个布尔表达式，仅当表达式为真时调试器才暂停执行，从而精准定位特定状态下的问题。

4.1 条件断点的核心语法

WinDbg 的 bp 命令支持通过 ".if" 条件表达式或 j (条件跳转) 命令实现条件暂停。最常用的模式是：

bp Address "j (Condition) 'k; gc' ; 'gc'"

该命令在 Address 处设置断点，每次命中时执行 j 命令：

• Condition：求值为真（非零）时，执行 'k; gc'（打印调用栈并暂停）。
• Condition：求值为假（零）时，执行 'gc'（继续执行，不暂停）。

4.2 基于内存地址值的条件判断

最常见的场景是监控某个全局变量或数据结构成员在达到特定值时触发中断。例如，驱动中有一个全局计数器 g_PacketCount，你想在它等于 1000 时暂停：

bp MyDriver!ProcessPacket "j (poi(MyDriver!g_PacketCount) == 0n1000) 'k; gc' ; 'gc'"

关键伪寄存器与操作符：

4.3 基于寄存器与参数的条件断点

在函数入口处，你可以基于寄存器或栈上的参数设置条件。例如，在 NtCreateFile 中仅当 DesiredAccess 参数包含 DELETE (0x10000) 时中断：

bp nt!NtCreateFile "j (dwo(@rsp+0x28) & 0x10000) 'k; gc' ; 'gc'"

在 x64 调用约定中，前四个参数通过 rcx, rdx, r8, r9 传递。例如，仅当第一个参数（rcx）指向的 UNICODE_STRING 的 Buffer 包含特定字符串时中断：

bp MyDriver!MyFunction "j (poi(@rcx+0x8) != 0) 'k; gc' ; 'gc'"

4.4 条件断点工作流程

下图展示了调试器在命中条件断点时的决策路径：

4.5 实战案例：监控特定进程的内存分配

假设你需要监控 ExAllocatePoolWithTag 在特定进程上下文中的调用，仅当 Tag 参数为 'TAG1' 且分配大小大于 4096 字节时中断：

bp nt!ExAllocatePoolWithTag "
    j (poi(@rsp+0x28) == 'TAG1' && dwo(@rsp+0x20) > 0n4096) '
        .printf \"Alloc: Tag=%s, Size=%d\\n\", @rsp+0x28, dwo(@rsp+0x20);
        k;
        gc
    ' ;
    'gc'
"

4.6 条件断点的管理与优化

使用 bl 列出所有断点及其条件，bc 清除不再需要的断点。对于高频命中的条件断点，建议：

• 避免复杂表达式：每次命中都执行条件表达式，过于复杂的表达式会拖慢目标系统。
• 使用伪寄存器缓存：对于重复读取的地址，先用 r $t0 = poi(Addr) 缓存，再在条件中引用 $t0。
• 结合日志断点：如果只需要记录而不暂停，可以使用 .logappend 或 .printf 配合 gc 实现非侵入式监控。