使用 bochs+vmware+windbg 分析调试 windows 7 内核

系统管理员 2022-01-17 07:39 712阅读 0赞

原文链接:http://www.mouseos.com/win7/windbg.html

用 google 可以搜出很多“如何使用 windbg 调试 windows 内核的”的教程。基本都差不多

我根据搜出的教程，再总结一下将自己实验过程写出来。

★ 我的 vmware 版本是: 6.0.4 build-93057  
  
★ windbg 版本是：6.11.0001.402 AMD64  
  
★ bochs 版本是：2.4.2  
  
★ 目标 windows 7 版本是：windows 7 ultimate x64 中文版

\-------------------------------------------------------------------------------------------------------  
  
使用 vmware + windbg 就可以调试 windows 内核了，但是我喜欢还开上 bochs ，使用 bochs 很方便灵活。

vmware 里的 guest OS 作为被调试对象，Host OS 里使用 windbg 作为调试者。

guest OS 和 Host OS 通过 serial port 以 named pipe 方式作为联线。  
  
  
  
**一、在我的 vmware 上装上了最新的 windows 7 x64 中文旗舰版**

bochs 也装上了同样的 windows 7 x64 中文旗舰版。  
  
  
1、vmware 的设置  
  
打开相应 vmware 虚拟机上的 “Virtaul Machine Settings”---> “Hardware”选项中 ----> 点击 “Add” 添加一个串口设备 Seiall Port ----> “Next” ----> 在 Serial Port 里选中“Output to named pipe” ----> “next” ----> “Finish”

最后，回到 “Virtual Machine Settings”页面时，在“I/O Mode” 里选中“Yield CPU on poll” 这样 vmware 的设置就好了。

2、windbg 的使用

在桌面上建一个便捷方式，命令行是：

"C:\\Program Files\\Debugging Tools for Windows 64-bit\\windbg.exe" -b -k com:port=\\\\.\\pipe\\com\_1,baud=115200,pipe

这样在开启 vmware 中的 windows 7 后运行这个便捷方式，windbg 与 guest OS “win7” 就建立成联线方式。

**二、guest OS - win7 中设定**  
  
  
**1、在 bootmgr 中下断点**  
  
在 vista 及后续的 windows 已经取消了 ntldr 模块管理引导，转而以 bootmgr 模块管理引导系统。

在我的 windows 7中要设定在哪个部分进行调试。

windws 7 可调试部分有 4 个：bootmgr 模块、winload 模块、WinResume 模块以及 windows 内核模块 Nt 模块

可以在上述的 4 个模块下断点进行调式

**例：在 bootmgr 下断点的话，可使用以下命令进行：**  
  
(1) 以管理员身份运行“命令提示符”

(2) 在“命令提示符”窗口中，输入以下命令：

<table style="color:rgb(0,0,0); font-family:Simsun; text-align:start; border:1px dotted rgb(204,204,204); table-layout:fixed"> 
 <tbody> 
  <tr> 
   <td style="word-wrap:break-word"> <p>bcdedit /set {bootmgr} bootdebug on<br> bcdedit /set {bootmgr} debugtype serial<br> bcdedit /set {bootmgr} debugport 1<br> bcdedit /set {bootmgr} baudrate 115200</p> </td> 
  </tr> 
 </tbody> 
</table>

在提示命令成功后，这样就在 windows7 中的 bootmgr 模块建立起可调试的机制。  
在运行 windows7 时到达 bootmgr 时就停止加载，vmware 中是黑屏，它正等待 serial port 的响应，  
运行 windbg 后，windbg 就和 windws 7 中的 bootmgr 建立起联线了

下面是我的 windbg 在 bootmgr 模式下断点的响应信息：

<table style="color:rgb(0,0,0); font-family:Simsun; text-align:start; border:1px dotted rgb(204,204,204); table-layout:fixed"> 
 <tbody> 
  <tr> 
   <td style="word-wrap:break-word"> <p>Microsoft (R) Windows Debugger Version 6.11.0001.402 AMD64<br> Copyright (c) Microsoft Corporation. All rights reserved.</p> <p>Opened&nbsp;\\.\pipe\com_1<br> Waiting to reconnect...<br> BD: Boot Debugger Initialized<br> Connected to Windows Boot Debugger 7600 x86 compatible target at (Thu Nov 26 21:05:14.787 2009 (GMT+8)), ptr64 FALSE<br> Kernel Debugger connection established.&nbsp; (Initial Breakpoint requested)<br> <span style="color:rgb(255,0,0)">Symbol search path is: *** Invalid ***</span><br> ****************************************************************************<br> * Symbol loading may be unreliable without a symbol search path.&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; *<br> * Use .symfix to have the debugger choose a symbol path.&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; *<br> * After setting your symbol path, use .reload to refresh symbol locations. *<br> ****************************************************************************<br> Executable search path is:&nbsp;<br> *********************************************************************<br> * Symbols can not be loaded because symbol path is not initialized. *<br> *&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; *<br> * The Symbol Path can be set by:&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; *<br> *&nbsp;&nbsp; using the _NT_SYMBOL_PATH environment variable.&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; *<br> *&nbsp;&nbsp; using the -y &lt;symbol_path&gt; argument when starting the debugger. *<br> *&nbsp;&nbsp; using .sympath and .sympath+&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; *<br> *********************************************************************<br> *** ERROR: Module load completed but symbols could not be loaded for bootmgr<br> Windows Boot Debugger Kernel Version 7600 UP Free x86 compatible<br> Machine Name:<br> <span style="color:rgb(255,0,0)">Primary image base = 0x00400000 Loaded module list = 0x00491b80</span><br> System Uptime: not available<br> Break instruction exception - code 80000003 (first chance)<br> <span style="color:rgb(255,0,0)">bootmgr+0x436bc:</span><br> 004436bc cc&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; int&nbsp;&nbsp;&nbsp;&nbsp; 3</p> </td> 
  </tr> 
 </tbody> 
</table>

这段信息中，看到：

★ Opened \\\\.\\pipe\\com\_1  
  
windbg 打开了 serial port

★ Symbol search path is: \*\*\* Invalid \*\*\*

目前模式的符号不可用

★ Primary image base = 0x00400000 Loaded module list = 0x00491b80

bootmgr 被加载到基地址是 0x00400000

★ bootmgr+0x436bc:

目前处在 bootmgr 模块中

**2、在 winload 模块下断点**  
  
同样在“命令提示符”中使用命令

这条命令显示当前可用模块的 GUID

在我的系统上显示是：

<table style="color:rgb(0,0,0); font-family:Simsun; text-align:start; border:1px dotted rgb(204,204,204); table-layout:fixed"> 
 <tbody> 
  <tr> 
   <td style="word-wrap:break-word"> <p>Windows 启动管理器<br> ------------------<br> 标识符　　　　&nbsp; &nbsp;{bootmgr}<br> device&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; partition=\Device\HarddiskVolume1<br> description&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; Windows Boot Manager<br> locale&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; zh-CN<br> inherit&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; {globalsettings}<br> debugtype&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; Serial<br> debugport&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 1<br> baudrate&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 115200<br> bootdebug&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; yes<br> default&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; {current}<br> resumeobject&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; {53a5f400-d7b9-11de-93c1-e9eb61f9eb4f}<br> displayorder&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; {current}<br> toolsdisplayorder&nbsp;&nbsp; {memdiag}<br> timeout&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 30</p> <p><br> Windows 启动加载器<br> ------------------<br> 标识符　　　　&nbsp;&nbsp;&nbsp; {current}<br> device&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; partition=C:<br> path&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; \Windows\system32\winload.exe<br> description&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; Windows 7<br> locale&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; zh-CN<br> inherit&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; {bootloadersettings}<br> recoverysequence&nbsp;&nbsp;&nbsp; {53a5f402-d7b9-11de-93c1-e9eb61f9eb4f}<br> osdevice&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; partitions=C:<br> systemroot&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; \Windows<br> resumeobject&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; {53a5f400-d7b9-11de-93c1-e9eb61f9eb4f}</p> </td> 
  </tr> 
 </tbody> 
</table>

winload 的 GUID 为 current  
  
所以，用以下命令：

<table style="color:rgb(0,0,0); font-family:Simsun; text-align:start; border:1px dotted rgb(204,204,204); table-layout:fixed"> 
 <tbody> 
  <tr> 
   <td style="word-wrap:break-word"> <p>bcdedit /set {current} bootdebug on&nbsp; &nbsp;&nbsp; &nbsp;&nbsp; &nbsp;&nbsp; &nbsp;&nbsp; &nbsp;&nbsp; &nbsp;<br> bcdedit /set {current} debugtype serial<br> bcdedit /set {current} debugport 1<br> bcdedit /set {current} baudrate 115200</p> </td> 
  </tr> 
 </tbody> 
</table>

这样就在 winload 模块下了断点  
  
  
  
  
**3、在内核模块 Nt 模块下断点**  
  
打开 windws 7 的“控制面板”----> “管理工具” ---> “系统配置” ---> 打开“引导”页面 ---> 点击“高级选项”  
  
\----> 在高级启动选项里，选中“调试” ----> 点击“确定”就行了。  
  
这样就在 nt 模块下了断点

**三、 windbg 加载符号**  
  
  
在 windbg 的 "File" ---> "Symbol File path" ---> 设定为：　SRV\*d:\\symbols\*[http://msdl.microsoft.com/download/symbols][http_msdl.microsoft.com_download_symbols]  
  
回到 windbg 命令行，使用命令 .reload　命令，可以自动加载符号  
  
  
  
  
**四、用 bochs 配合 windbg 调试**  
  
bochs 做单独调试，与 windbg 无联系，但 bochs 可以在整个启动过程中设断点，这一点 windbg 做不到。

windbg 的优点是可以查看符号。bochs 中看不符号，bochs+windbg 配合使用可以观察 windows7 启动的每个流程。

参考资料：一篇文章：[http://advdbg.org/blogs/advdbg\_system/articles/784.aspx][http_advdbg.org_blogs_advdbg_system_articles_784.aspx]

[http_msdl.microsoft.com_download_symbols]: http://msdl.microsoft.com/download/symbols
[http_advdbg.org_blogs_advdbg_system_articles_784.aspx]: http://advdbg.org/blogs/advdbg_system/articles/784.aspx