Windows调试工具入门-3-WinDbg内核调试配置

内核调试主要用来调试驱动代码、分析内核结构等。 WinDbg通过两台电脑可以实现内核调试，其中一台电脑运
行WinDbg，被称为主机；另外一台电脑运行被调试的程序或系统，被称为目标机。一般情况下两台电脑都是真实机
器，这样调试最符合实际情况，两台电脑通过串口线、 1394线或USB对联线连接起来实现双机内核调试。如果没 有
两台电脑，也可以用虚拟机来模拟目标机，主机上运行WinDbg ，虚拟机中安装Windows运行被调试的程序，虚拟
机通过模拟的串口输出为主机上的一个命名管道，从而和主机上的WinDbg连接起来实现双机 内核调试。
    除双机内核调试外， WindowsXP后还引入了一种本机内核调试方式，只需要一台电脑，直接运行WinDbg就 能
查看修改系统内核结构等，不过所有和中断目标机系统相关的命令都不能执行，如断点命令。
     如果采用虚拟机模拟目标机，调试响应速度有时候是个问题，比1394线连接的真实双机调试速度要慢不少，特
别是执行操作大量内存的命令时（如搜索内存命令），感觉非常明星。所以针对这种情况还会介绍一个特殊的辅助调 试
工具vmkd ，该工具可以大大加速内核调试的速度，为咱们带来不少方便。
    下面分节详细介绍各种内核调试情景下的配置，尽量每个步骤都截图说明。

真实机双机内核调试

    真实机之间的内核调试首先需要准备连接线，可以用串口线、 1394线或者USB对联线。
    串口线速度太慢，而且电脑城一般买不到可以直接使用的串口线，需要把线和接头买回来自己焊，按照WinDbg
帮助中的说明交叉焊接，就能得到一根可用来调试的串口线。用串口线把两台电脑连接上后，先用Windows自带的
超级终端工具，选择好串口和波特率连接。如果在超级终端中按键能在另外一台电脑的超级终端上显示按键，则表示
串口线连接成功。接下来就可以用WinDbg连接串口调试。某些笔记本上可能没有串口，可以买一个USB转串口的
接头，然后设置USB转换后的串口号，就能把这台笔记本当作主机使用。
   1394线速度快，价格也便宜，如果电脑上没有1394口，可以再另外买一个1394卡，价格也很便宜。 1394分
大口和小口，只需按照电脑上的接口大小购买合适的线就行。如果没有1394口，装一个1394卡又很麻烦，则也可
以买一个USB转1394口的接头，不过一样只能当作主机使用。
   USB对联线是Vista系统以后支持的内核调试连接方式，没见到哪里能买到这样的线，估计速度会更快一点吧！
   因为1394线连接调试最方便，速度也比较快，所以建议使用这种方式。
    电脑、连接线等准备好后，先设置目标机系统，启用内嵌在系统中的内核调试引擎。 Vista之前的系统，用记事 本
打开系统盘根目录下的boot.ini文件，添加新的启动项，在新的启动项上添加调试选项。如下表，红色行表示新加的
启动项， /debug表示打开内核调试引擎， /debugport=1394表示采用1394连接方式， /channel=10表示设置 通
道号为10。

 [bootloader]
 timeout=30
 default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS
 [operatingsystems]
 multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="MicrosoftWindowsXPProfessional"
 /noexecute=optin/fastdetect
 multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="WINXP-Debug"/noexecute=optin/debug
 /debugport=1394/channel=10

   Vista之后的系统需要修改BCD数据库，利用bcdedit工具添加启动项，设置调试选项。如下表，以管理员方 式

运行命令行程序，先复制当前项生成新的启动项，然后在新的启动项上操作，打开内核调试、设置调试连接方式、设
置1394通道号。

 C:\>bcdedit/copy{default}/d"Vista-RemoteDebug"
 已将该项成功复制到{13fbbedc-756a-11dc-aed8-0016e68bceb3} 。
 C:\>bcdedit/set{13fbbedc-756a-11dc-aed8-0016e68bceb3}debugtype1394
 操作成功完成。
 C:\>bcdedit/set{13fbbedc-756a-11dc-aed8-0016e68bceb3}channel10
 操作成功完成。
 C:\>bcdedit/debug{13fbbedc-756a-11dc-aed8-0016e68bceb3}on
 操作成功完成

     设置完目标系统后重启，在选择启动菜单时停下来，在主机上通过如下命令行运行WinDbg准备连接到目标机

 D:\WinDbg>windbg-d-k1394:channel=10

-d表示在连接上目标系统后马上中断下来，这个也是最早的断点，该选项主要是为了在目标系统初始化早期就断下 来
查看系统状态，当前情况下可以不要，1394:channel=10表示连接方式和通道号。第一次采用1394内核调试时，
WinDbg可能会显示启动驱动失败，再次运行WinDbg应该就好了。运行WinDbg后，显示如下界面：

表示WinDbg已经准备好，正在等待1394连接。然后返回目标机，选择前面添加的启动项（也就是打开了内核调 试
选项的启动项），如下图，真实机器无法截图，这里用虚拟机截图代替。

选择该启动项后，系统就会加载内核，初始化内核调试引擎，不一会（几秒钟）就能在主机的WinDbg上看到输出信
息，接着中断在WinDbg中，如下图（写这篇文章时还是用的虚拟机截图，呵呵）：

可以看到WinDbg显示已经连接到WindowsXP系统上，并显示了符号路径、内核基址等信息，然后中断下来得到 控
制权，输入k命令可以看到当前调用栈，输入g命令让目标系统继续启动。开始调试后，在WinDbg中可以随时按

Ctrl+Break组合键或通过工具栏按钮中断目标系统。

    如果前面运行WinDbg时不习惯命令行方式，也可以先打开WinDbg ，然后选择菜单File/KernelDebug打开
内核调试连接对话框，切换到第二个 “ 1394” 选项卡，在channel下面的编辑框中输入通道号10，点击 “ 确定 ” 按
钮开始连接目标机。

这样和前面命令行运行WinDbg的效果一样，就是没了 -d选项，可以在等待连接的界面上按两次Ctrl+Alt+k组合 键
达到相同的效果

      真实机采用1394调试时，如果目标机系统是Windows2003 （未安装ServicePack ）或者WindowsXPSP 1，
则连接调试前，需要先在目标机上的 “ 设备管理器” 中禁用1394控制器。如果目标机上是Vista、 Windows2003SP1
或者WindowsXPSP2等系统之后的系统，则不要禁用1394控制器。另外，如果主机是Vista之前的系统，用1 394
调试时连接有问题，则可以尝试在主机的 “ 设备管理器” 中禁用1394网络适配器。

虚拟机双机内核调试

     真实机毕竟硬件成本高，需要两台电脑，还得买连接线。如果调试要求不高，很多情况下可以用虚拟机模拟目标
机，实现双机内核调试。当前常用的虚拟机有两种： VMWare和VirtualPC ，都提供了免费版本，运行速度相当于主
机的一半左右。估计现在大家都是双核的电脑，运行虚拟机还是没问题的。 VMWare似乎速度要快一点点，而且提 供
的快照功能非常方便，可以随时把系统还原到以前保存的状态。 VirtualPC似乎兼容性要好一点，有时候在VMWare
上安装系统蓝屏，用VirtualPC就没问题。
    首先也是选择连接方式，用虚拟机只有一种串口方式，通过虚拟机模拟的串口输出到主机上的命名管道，然后
WinDbg连接这个命名管道，从而实现主机和虚拟机的连接。
   在虚拟机中安装好系统后，关闭虚拟机系统，打开虚拟机系统的设置框， VMWare中如下图：

选择Editvirtualmachinesettings ，打开设置对话框：

首先选择Add... 按钮添加Serial设备，然后按照上图设置Serial属性。命名管道名称为WinDbg连接时需要用到的
管道名， \\.\pipe\前缀不可少，后面接一个容易理解的名称即可。
VirtualPC虚拟机也差不多，先安装好系统，选择系统，点击Settings按钮：

打开虚拟机系统设置对话框，选择左边的COM1项，在右边设置输出的命名管道名称。

     设置好硬件连接方式后（这里是虚拟硬件），启动虚拟机中的系统，添加调试启动项。因为虚拟机只是虚拟了串 口，
所以设置系统启动项时只能使用串口方式。 Vista之前的系统通过修改boot.ini文件实现，如下表。红色项表示新添
加的启动项， /debug表示打开内核调试引擎， /debugport=com1表示采用串口1通信， /baudrate=115200设
置串口1的波特率为115200 。

 [bootloader]
 timeout=30
 default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS
 [operatingsystems]
 multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="MicrosoftWindowsXPProfessional"
 /noexecute=optin/fastdetect
 multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="WINXP-Debug"/noexecute=optin/debug
 /debugport=com1/baudrate=115200

Vista之后的系统，以管理员权限打开命令行窗口，通过bcdedit工具修改BCD数据添加启动项。

 C:\>bcdedit/copy{default}/d"Vista-RemoteDebug-1394"
 已将该项成功复制到{13fbbedc-756a-11dc-aed8-0016e68bceb3} 。
 C:\>bcdedit/set{13fbbedc-756a-11dc-aed8-0016e68bceb3}debugtypeSERIALDEBUGPORT:1
 BAUDRATE:115200
 操作成功完成。
 C:\>bcdedit/debug{13fbbedc-756a-11dc-aed8-0016e68bceb3}on
 操作成功完成

设置好启动项后，重启虚拟机中的系统，在选择启动菜单项时停下来，返回主机，通过命令行启动WinDbg。

 D:\WinDbg>windbg-d-kcom:pipe,port= \\.\pipe\vmdbg_winxpen,baud=115200

 

注意红色字表示的管道名称，需要和虚拟机中的设置一样。这里照样可以通过菜单打开内核调试连接对话框来操作。

注意管道名称要一致，选中Pipe项，然后确定，WinDbg则会开始等待连接。

此时返回虚拟机中选择调试启动项，一会就能看到WinDbg中显示连接上虚拟机的信息

     建立连接后，就和调试真实机一样，操作也一样。只有当调试某些和特殊硬件相关的驱动，或者调试和3D游戏

相关的程序时，还是得用到真实机。另外，运行虚拟机毕竟影响主机速度，特别是读取硬盘时感觉比较明显。而且当
WinDbg中断下目标系统后，虚拟机基本上就把CPU给占满了，双核时还好，单核时搞的主机都没办法动。当然调试
速度也是个问题，照理说都是一台电脑（虚拟机也还是运行在主机上），传输速度应该很快。但因为串口是完全模拟 的，
串口设计决定了速度不可能快，所以下面介绍一个用于虚拟机调试时的加速工具： vmkd 。

 

              Vmkd是内核调试高手Skywing推出的一个工具，主要用于加快VMWare内核调试的速度，官方网站在：
http://www.nynaeve.net/?page_id=168 。 vmkd相当于接管了内核调试引擎传输通道，以前是：虚拟机系统内
核 <->模拟串口 <->命名管道 <->WinDbg，使用vmkd后变成：虚拟机系统内核<->vmkd内核模块kdvmware <->vmkd注入模块vmxpatch<->新的命名管道 <->WinDbg，因为不走虚拟机的模拟串口传输数据，而是虚拟机端
的kdvmware和主机端的vmxpath直接复制内存，所以传输速度大大加快。

 

详细使用步骤如下：
1.在虚拟机中安装好系统，并按照前一节所述设置好串口调试。
2.把vmkd带的kdvmware.sys复制到虚拟机中C:\WINDOWS\system32\drivers目录下，在虚拟机中使
用 命 令 行sccreatekdvmwarestart=demandtype=kernelbinPath=
c:\windows\system32\drivers\kdvmware.sysDisplayName=kdvmware安装驱动。

 

3.重新启动虚拟机中的系统，选择调试启动项进系统。

4.在主机上找到启动虚拟机的vmware-vmx.exe进程的pid ，利用vmxinject.exepid命令把vmxpatch. dll
注入到vmware-vmx.exe进程

 D:\DbgTools\vmkd>tlist-mvmware-vmx.exe
 D:\ProgramFiles\VMware\VMwareServer\bin\vmware-vmx.exe-6096vmware-vmx.exe
 OleMainThreadWndName
 D:\DbgTools\vmkd>vmxinject6096
 OK

5.在虚拟机中通过netstartkdvmware命令启动驱动。

6.在主机上启动WinDbg连接虚拟机中的系统开始调试，命名管道名称中的winxpen是虚拟机系统的安装文
件夹（比如： d:\VMs\winxpen ）。

 windbg-kcom:pipe,port=\\.\pipe\kdvmware_winxpen,baud=115200

命名管道名称如果不确定，可用WinObjEx工具查看系统中的所有命名管道名，如下图，最下面的就是vm kd
使用的管道名。

连接后如下图：

此时再调试会发现单步速度非常快，运行一下搜索命令s就能感觉出来，甚至.dump命令也很快能执行完。

本机内核调试

     本机内核调试是WindowsXP之后的系统引入的一种内核调试方式，说调试其实有点不准确，因为没有单步、 断
点等调试必备的功能，只能读写内存。不过用来查看系统内核信息时还是非常方便的，不需要两台电脑（连虚拟机也
不需要，完全在本机运行），能够利用大部分WinDbg自带的扩展命令，在XP以后的系统上都能使用，包括32/64
系统。

      在Windows2003SP1之前的系统上，系统通过ntdll!ZwSystemDebugControl函数提供本机内核调试支 持。
之后的系统通过WinDbg自带的kldbgdrv.sys驱动调用nt!KdSystemDebugControl函数提供本机内核调试支持 。
官方文档建议在启动项中添加 /Debug选项启动系统，然后使用本机内核调试功能。但一般情况下不需要这么做， Vista
之前的系统上，可以直接运行WinDbg打开本机内核调试；Vista及之后的32位系统，可以利用笔者写的一个小工
具VistaLKD开启本机内核调试功能，再运行WinDbg打开本机内核调试；Vista及之后的64位系统暂时只能修改
启动项添加 /Debug选项来开启本机内核调试功能。
     启动本机内核调试非常简单，加上 -kl命令行启动WinDbg即可

 D:\WinDbg>windbg-kl

显示界面如下：

也可以运行WinDbg后打开内核调试连接对话框，选择Local选项页，点击 “ 确定 ” 按钮打开本机内核调试功能

    Vista及以后的系统，记得先以管理员权限运行VistaLKD工具，点击Enablelocalkerneldebug按钮开启本
机内核调试功能，然后再以管理员权限运行WinDbg打开本机内核调试。

 

本机内核调试下可以做很多事情，比如查看内核结构定义、反汇编内核函数、显示内核Hook等。

转载：点击打开链接