Window10中利用Windbg与虚拟机（window7）中调试驱动建立方法

 

1. [bootloader]  
2. timeout=30  
3. default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS  
4. [operatingsystems]  
5. multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="MicrosoftWindowsXPProfessional"  
6. /noexecute=optin/fastdetect  
7. multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="WINXP-Debug"/noexecute=optin/debug  
8. /debugport=1394/channel=10  

   Vista之后的系统需要修改BCD数据库，利用bcdedit工具添加启动项，设置调试选项。如下表，以管理员方 式

运行命令行程序，先复制当前项生成新的启动项，然后在新的启动项上操作，打开内核调试、设置调试连接方式、设
置1394通道号。

[csharp] view plain copy  

1. C:\>bcdedit/copy{default}/d"Vista-RemoteDebug"  
2. 已将该项成功复制到{13fbbedc-756a-11dc-aed8-0016e68bceb3} 。  
3. C:\>bcdedit/set{13fbbedc-756a-11dc-aed8-0016e68bceb3}debugtype1394  
4. 操作成功完成。  
5. C:\>bcdedit/set{13fbbedc-756a-11dc-aed8-0016e68bceb3}channel10  
6. 操作成功完成。  
7. C:\>bcdedit/debug{13fbbedc-756a-11dc-aed8-0016e68bceb3}on  
8. 操作成功完成  

     设置完目标系统后重启，在选择启动菜单时停下来，在主机上通过如下命令行运行WinDbg准备连接到目标机

[csharp] view plain copy  

1. D:\WinDbg>windbg-d-k1394:channel=10  

-d表示在连接上目标系统后马上中断下来，这个也是最早的断点，该选项主要是为了在目标系统初始化早期就断下 来
查看系统状态，当前情况下可以不要，1394:channel=10表示连接方式和通道号。第一次采用1394内核调试时，
WinDbg可能会显示启动驱动失败，再次运行WinDbg应该就好了。运行WinDbg后，显示如下界面：

表示WinDbg已经准备好，正在等待1394连接。然后返回目标机，选择前面添加的启动项（也就是打开了内核调 试
选项的启动项），如下图，真实机器无法截图，这里用虚拟机截图代替。

选择该启动项后，系统就会加载内核，初始化内核调试引擎，不一会（几秒钟）就能在主机的WinDbg上看到输出信
息，接着中断在WinDbg中，如下图（写这篇文章时还是用的虚拟机截图，呵呵）：

可以看到WinDbg显示已经连接到WindowsXP系统上，并显示了符号路径、内核基址等信息，然后中断下来得到 控
制权，输入k命令可以看到当前调用栈，输入g命令让目标系统继续启动。开始调试后，在WinDbg中可以随时按

Ctrl+Break组合键或通过工具栏按钮中断目标系统。

    如果前面运行WinDbg时不习惯命令行方式，也可以先打开WinDbg ，然后选择菜单File/KernelDebug打开
内核调试连接对话框，切换到第二个 “ 1394” 选项卡，在channel下面的编辑框中输入通道号10，点击 “ 确定 ” 按
钮开始连接目标机。

这样和前面命令行运行WinDbg的效果一样，就是没了 -d选项，可以在等待连接的界面上按两次Ctrl+Alt+k组合 键
达到相同的效果

      真实机采用1394调试时，如果目标机系统是Windows2003 （未安装ServicePack ）或者WindowsXPSP 1，
则连接调试前，需要先在目标机上的 “ 设备管理器” 中禁用1394控制器。如果目标机上是Vista、 Windows2003SP1
或者WindowsXPSP2等系统之后的系统，则不要禁用1394控制器。另外，如果主机是Vista之前的系统，用1 394
调试时连接有问题，则可以尝试在主机的 “ 设备管理器” 中禁用1394网络适配器。

虚拟机双机内核调试

     真实机毕竟硬件成本高，需要两台电脑，还得买连接线。如果调试要求不高，很多情况下可以用虚拟机模拟目标
机，实现双机内核调试。当前常用的虚拟机有两种： VMWare和VirtualPC ，都提供了免费版本，运行速度相当于主
机的一半左右。估计现在大家都是双核的电脑，运行虚拟机还是没问题的。 VMWare似乎速度要快一点点，而且提 供
的快照功能非常方便，可以随时把系统还原到以前保存的状态。 VirtualPC似乎兼容性要好一点，有时候在VMWare
上安装系统蓝屏，用VirtualPC就没问题。
    首先也是选择连接方式，用虚拟机只有一种串口方式，通过虚拟机模拟的串口输出到主机上的命名管道，然后
WinDbg连接这个命名管道，从而实现主机和虚拟机的连接。
   在虚拟机中安装好系统后，关闭虚拟机系统，打开虚拟机系统的设置框， VMWare中如下图：

选择Editvirtualmachinesettings ，打开设置对话框：

首先选择Add... 按钮添加Serial设备，然后按照上图设置Serial属性。命名管道名称为WinDbg连接时需要用到的
管道名， \\.\pipe\前缀不可少，后面接一个容易理解的名称即可。
VirtualPC虚拟机也差不多，先安装好系统，选择系统，点击Settings按钮：

打开虚拟机系统设置对话框，选择左边的COM1项，在右边设置输出的命名管道名称。

     设置好硬件连接方式后（这里是虚拟硬件），启动虚拟机中的系统，添加调试启动项。因为虚拟机只是虚拟了串 口，
所以设置系统启动项时只能使用串口方式。 Vista之前的系统通过修改boot.ini文件实现，如下表。红色项表示新添
加的启动项， /debug表示打开内核调试引擎， /debugport=com1表示采用串口1通信， /baudrate=115200设
置串口1的波特率为115200 。

[csharp] view plain copy  

1. [bootloader]  
2. timeout=30  
3. default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS  
4. [operatingsystems]  
5. multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="MicrosoftWindowsXPProfessional"  
6. /noexecute=optin/fastdetect  
7. multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="WINXP-Debug"/noexecute=optin/debug  
8. /debugport=com1/baudrate=115200  

Vista之后的系统，以管理员权限打开命令行窗口，通过bcdedit工具修改BCD数据添加启动项。

[csharp] view plain copy  

1. C:\>bcdedit/copy{default}/d"Vista-RemoteDebug-1394"  
2. 已将该项成功复制到{13fbbedc-756a-11dc-aed8-0016e68bceb3} 。  
3. C:\>bcdedit/set{13fbbedc-756a-11dc-aed8-0016e68bceb3}debugtypeSERIALDEBUGPORT:1  
4. BAUDRATE:115200  
5. 操作成功完成。  
6. C:\>bcdedit/debug{13fbbedc-756a-11dc-aed8-0016e68bceb3}on  
7. 操作成功完成  

设置好启动项后，重启虚拟机中的系统，在选择启动菜单项时停下来，返回主机，通过命令行启动WinDbg。

[csharp] view plain copy  

1. D:\WinDbg>windbg-d-kcom:pipe,port= \\.\pipe\vmdbg_winxpen,baud=115200  

 

注意红色字表示的管道名称，需要和虚拟机中的设置一样。这里照样可以通过菜单打开内核调试连接对话框来操作。

注意管道名称要一致，选中Pipe项，然后确定，WinDbg则会开始等待连接。

此时返回虚拟机中选择调试启动项，一会就能看到WinDbg中显示连接上虚拟机的信息

     建立连接后，就和调试真实机一样，操作也一样。只有当调试某些和特殊硬件相关的驱动，或者调试和3D游戏

相关的程序时，还是得用到真实机。另外，运行虚拟机毕竟影响主机速度，特别是读取硬盘时感觉比较明显。而且当
WinDbg中断下目标系统后，虚拟机基本上就把CPU给占满了，双核时还好，单核时搞的主机都没办法动。当然调试
速度也是个问题，照理说都是一台电脑（虚拟机也还是运行在主机上），传输速度应该很快。但因为串口是完全模拟 的，
串口设计决定了速度不可能快，所以下面介绍一个用于虚拟机调试时的加速工具： vmkd 。

 

              Vmkd是内核调试高手Skywing推出的一个工具，主要用于加快VMWare内核调试的速度，官方网站在：
http://www.nynaeve.net/?page_id=168 。 vmkd相当于接管了内核调试引擎传输通道，以前是：虚拟机系统内
核 <->模拟串口 <->命名管道 <->WinDbg，使用vmkd后变成：虚拟机系统内核<->vmkd内核模块kdvmware <->vmkd注入模块vmxpatch<->新的命名管道 <->WinDbg，因为不走虚拟机的模拟串口传输数据，而是虚拟机端
的kdvmware和主机端的vmxpath直接复制内存，所以传输速度大大加快。

 

详细使用步骤如下：
1.在虚拟机中安装好系统，并按照前一节所述设置好串口调试。
2.把vmkd带的kdvmware.sys复制到虚拟机中C:\WINDOWS\system32\drivers目录下，在虚拟机中使
用 命 令 行sccreatekdvmwarestart=demandtype=kernelbinPath=
c:\windows\system32\drivers\kdvmware.sysDisplayName=kdvmware安装驱动。

 

3.重新启动虚拟机中的系统，选择调试启动项进系统。

4.在主机上找到启动虚拟机的vmware-vmx.exe进程的pid ，利用vmxinject.exepid命令把vmxpatch. dll
注入到vmware-vmx.exe进程

[csharp] view plain copy  

1. D:\DbgTools\vmkd>tlist-mvmware-vmx.exe  
2. D:\ProgramFiles\VMware\VMwareServer\bin\vmware-vmx.exe-6096vmware-vmx.exe  
3. OleMainThreadWndName  
4. D:\DbgTools\vmkd>vmxinject6096  
5. OK  

5.在虚拟机中通过netstartkdvmware命令启动驱动。

6.在主机上启动WinDbg连接虚拟机中的系统开始调试，命名管道名称中的winxpen是虚拟机系统的安装文
件夹（比如： d:\VMs\winxpen ）。

[csharp] view plain copy  

1. windbg-kcom:pipe,port=\\.\pipe\kdvmware_winxpen,baud=115200  

命名管道名称如果不确定，可用WinObjEx工具查看系统中的所有命名管道名，如下图，最下面的就是vm kd
使用的管道名。

连接后如下图：

此时再调试会发现单步速度非常快，运行一下搜索命令s就能感觉出来，甚至.dump命令也很快能执行完。

本机内核调试

     本机内核调试是WindowsXP之后的系统引入的一种内核调试方式，说调试其实有点不准确，因为没有单步、 断
点等调试必备的功能，只能读写内存。不过用来查看系统内核信息时还是非常方便的，不需要两台电脑（连虚拟机也
不需要，完全在本机运行），能够利用大部分WinDbg自带的扩展命令，在XP以后的系统上都能使用，包括32/64
系统。

      在Windows2003SP1之前的系统上，系统通过ntdll!ZwSystemDebugControl函数提供本机内核调试支 持。
之后的系统通过WinDbg自带的kldbgdrv.sys驱动调用nt!KdSystemDebugControl函数提供本机内核调试支持 。
官方文档建议在启动项中添加 /Debug选项启动系统，然后使用本机内核调试功能。但一般情况下不需要这么做， Vista
之前的系统上，可以直接运行WinDbg打开本机内核调试；Vista及之后的32位系统，可以利用笔者写的一个小工
具VistaLKD开启本机内核调试功能，再运行WinDbg打开本机内核调试；Vista及之后的64位系统暂时只能修改
启动项添加 /Debug选项来开启本机内核调试功能。
     启动本机内核调试非常简单，加上 -kl命令行启动WinDbg即可

[csharp] view plain copy  

1. D:\WinDbg>windbg-kl  

显示界面如下：

也可以运行WinDbg后打开内核调试连接对话框，选择Local选项页，点击 “ 确定 ” 按钮打开本机内核调试功能

    Vista及以后的系统，记得先以管理员权限运行VistaLKD工具，点击Enablelocalkerneldebug按钮开启本
机内核调试功能，然后再以管理员权限运行WinDbg打开本机内核调试。

 

本机内核调试下可以做很多事情，比如查看内核结构定义、反汇编内核函数、显示内核Hook等。

 

Window10中利用Windbg与虚拟机（window7）中调试驱动建立方法

标签：接下来   开启   32位   usb   常用   快捷方式   partition   nbsp   service