Xp+WinDBG+VMware调试内核

第一部分（步骤）：

先统一名称，真实的操作系统叫HostOS，在VMware里虚拟的操作系统叫GuestOS。

1.在VMware里安装好GuestOS；下载WinDBG并安装好。

2.添加一个串口

在关闭GuestOS的情况下才能添加硬件。添加串口的过程如下：

选择“串行端口”

选择“输出命名管道”

其他如下设置：

3.在GuestOS的boot.ini文件里填入如下内容：

multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professional Debug" /fastdetect /debugport=com1 /baudrate=115200

如图：

4.创建一个WinDBG的快捷方式，在“目标”一栏后面加上：

-b -k com:pipe,port=\\.\pipe\com_1,resets=0

如图：

5.重启GuestOS，选择Debug模式。

6.双击第4步创建的那个快捷方式启动WinDBG，它会自动去连接调试GuestOS。

可以看到，已经成功了，现在可以尽情地调试内核了。

第二部分（解说）：

原理就是VMware在GuestOS虚拟一个COM口，并在HostOS创建了一个管道，这个管道的一端连接GuestOS的COM口，另一端则是WinDBG，所以HostOS（WinDBG）和GuestOS的所有数据交换都是通过这个管道来流通转发的。

1.我的电脑没有COM口，所以不能搭建调试环境？

不是的，你的电脑有没有COM口与这个调试环境没有任何关系，整个过程根本没有使用到你电脑的物理COM口。VMware只是在GuestOS虚拟了一个COM口而已。

2.在创建串口（COM口属于串口的一种）的过程中，看到指定的管道为“\\.\pipe\com_1”，我可以指定为其他吗？

可以的。这只是指定一个管道名字而已，VMware用这个名字来创建一个命名管道。我完全可以改成“\\.\pipe\liangyu”、“\\.\pipe\aaa”等等，但记得要把WinDBG的快捷方式处的管道名字更改为一样。

3.我可以在GuestOS的boot.ini文件更改那个COM口吗？比如把COM1改为COM2？

不可以的，VMware会把虚拟出的这个COM口总是定义为com1。GuestOS的其他COM口都得让位。

4.看到很多教程都说到要勾选“I/O模式”，如图：

一定要勾选吗?

这个勾选不勾选都可以，我没发现有什么大的区别。

5.在更改GuestOS的boot.ini文件的时候，增加有“/debugport=com1 /baudrate=115200”这些内容，含义是？

使用的调试端口是com1，波特率是115200。这是在告诉GuestOS现在要调试内核(操作系统），把调试信息往COM1口输出，使用的波特率是115200。
我在试验的时候发现，这个波特率其实也不一定要设为115200，完全可以修改为112233、445566等等其他数据。可能是因为WinDBG自动调节波特率来适配管道或COM口，所以波特率在这里没有实际意义。

6.WinDBG的快捷方式那里添加了“-b -k com:pipe,port=\\.\pipe\com_1,resets=0”这些内容，含义是？

大概意思就是使用管道“\\.\pipe\com_1”来进行内核调试。各个参数的说明在WinDBG的参考文档里面有，这里粘贴一下：

-b

(Kernel mode only) This option has two effects:

1. The debugger will break into the target computer immediately upon connection.

2. After a reboot, the debugger will break into the target computer once the kernel is initialized. See  for details and for other methods of changing this status.

 

-k [ConnectType]

(Kernel mode only) Starts a kernel debugging session. For details, see . If -k is used without any ConnectType options following it, it must be the final entry on the command line.

 

resets=0

Specifies that an unlimited number of reset packets can be sent to the target when the host and target are synchronizing. Use the resets=0 parameter for Microsoft Virtual PC and other virtual machines whose pipes drop excess bytes. Do not use this parameter for VMware or other virtual machines whose pipes do not drop all excess bytes.

7.一定要这样创建一个WinDBG的快捷方式才能进行调试吗？

不是的，我们完全可以先正常运行WinDBG，然后选择菜单“File”--->“Kernel Debug...”，然后会弹出以下对话框：

然后设置如上，点确定。这样也是可以进行调试的。

8.上面第5、第6步有先后顺序吗？看到很多资料都很强调这个先后顺序。

这个是没有先后顺序的。你可以先执行第5，再到第6步，或者先执行第6，再到第5步都是没有关系的。

选择Debug模式后，即使进入系统操作了很久，运行了很多东西，但只要你运行WinDBG，照样能够连上去调试。所以说这里是没有先后顺序的。

 

 

第三部分 使用WinDBG和VMware调试驱动程序

还是先统一一下名称，真实的操作系统叫HostOS，在VMware里虚拟的操作系统叫GuestOS。

我们编写完驱动后，当然要进行调试，这不可能在HostOS（本机）里调试，否则BOSD就麻烦了，而且支持本机调试的调试器比较流行的只有 softice，这个东西早就停止更新了，而且对目前的操作系统的支持更是非常不好。所以使用WinDBG和VMware调试驱动程序绝对是我们最佳的选择。

驱动的加载和卸载是必须的步骤，你总不会希望每次修改驱动后需要重启系统才能进行调试吧？加载和卸载的代码其实很简单：

// ***************************************************************
// function : LoadDriver
// purpose   : 加载驱动
//     
// parameter : [IN] lpPath 驱动的完整路径
//      [OUT] 
//     
//
// author   : liangyu
// created   : 2008-7-10   17:19
// *************************************************************** 
BOOL CSSDTToolGuiDlg::LoadDriver(LPTSTR lpPath)
{
    SC_HANDLE hSCManager = OpenSCManager(NULL, NULL, SC_MANAGER_ALL_ACCESS);
    if ( NULL == hSCManager )
    {
   return FALSE;
    }

SC_HANDLE hService = CreateService( hSCManager, _T("SSDTTool"),
   _T("SSDTTool Driver"), SERVICE_ALL_ACCESS,
   SERVICE_KERNEL_DRIVER, SERVICE_DEMAND_START,
   SERVICE_ERROR_IGNORE, lpPath, NULL, NULL, NULL, NULL, NULL );
if ( NULL == hService )
{
   if (ERROR_SERVICE_EXISTS == GetLastError())//如果是"已经存在该驱动"导致的错误则继续
   {
    hService = OpenService( hSCManager, _T("SSDTTool"), SERVICE_ALL_ACCESS);
   } 
   else
   {
    return FALSE;
   }
}

StartService( hService, 0, NULL );
CloseServiceHandle( hService );
    CloseServiceHandle( hSCManager );

return TRUE;
}

// ***************************************************************
// function : UnLoadDriver
// purpose   : 卸载驱动
//     
// parameter : [IN] lpName 服务（驱动在SCM注册的）名字
//      [OUT] 
//     
//
// author   : liangyu
// created   : 2008-7-10   17:41
// *************************************************************** 
BOOL CSSDTToolGuiDlg::UnLoadDriver(LPTSTR lpName)
{
SC_HANDLE hSCManager = OpenSCManager(NULL, NULL, SC_MANAGER_ALL_ACCESS);
    if ( NULL == hSCManager )
    {
   return FALSE;
    }

SC_HANDLE hService = OpenService( hSCManager, lpName, SERVICE_ALL_ACCESS);
if ( NULL == hService )
{
   return FALSE; 
}

SERVICE_STATUS ss;
ControlService( hService, SERVICE_CONTROL_STOP, &ss );
DeleteService( hService );
CloseServiceHandle( hService );
    CloseServiceHandle( hSCManager );

return TRUE;
}
　

其实有人已经写好这个用途的工具了，《Rootkits: Subverting the Windows Kernel》提到的InstDrv（），也有国内的网友写好了一个中文版的（http://hi.baidu.com/coderui/blog/item/670a25fb4912b161024f566e.html），功能更齐全。我们就用它来加载和卸载要调试的驱动。

好了，开始。按照之前的说明搭好调试环境后，先用WinDBG连上VMware，如果GuestOS阻塞了，则在WinDBG输入命令“g”，然后回车，直到让GuestOS跑起来。我们把编译好的驱动文件(*.sys)放到GuestOS里，回到WinDBG，按 “Ctrl+Break”，WinDBG会让GuestOS暂停下来，我们也可以在WinDBG的命令栏输入命令了，如下：

在这里输入“bu drivername!driverentry”（大小写不限）可以在驱动的DriverEntry函数的入口点下一个延迟断点，其实BU的意思就是Set Unresolved Breakpoint，WinDBG会记住这个断点，当这个驱动被加载了并且执行到这个地方，WinDBG会暂停GuestOS让你进行调试操作。drivername是你的驱动名字，比如我在这里的驱动名字是SSDTTool，那我在这里输入的命令如下：

回车后即下好断点了。现在打开源文件，源文件在HostOS呢。“Ctrl+O”找到驱动的源文件打开，如图：

还要设置符号路径。“Ctrl+S”打开设置窗体，符号路径一般有两个（可以有多个），一个是你设置保存系统DLL的PDB文件的路径，另一个是你驱动的PDB的路径，以分号隔开。如下：

记得勾选“Reload”，OK后稍等片刻，等WinDBG把这些东西加载完毕后再操作。加载完后我们输入“g”，回车，让GuestOS跑起来。在GuestOS里运行驱动加载/卸载工具把我们的驱动加载起来。可以看到，已经断下来了，我们可以源码调试驱动了：

注：打开源文件和设置符号路径可以在一开始的时候就做，这是没有严格先后顺序的。

分类: 底层