软件调试实战：windbg 内核调试 （lkd kd ）

http://advdbg.org/books/swdbg/samples.aspx

一，本地内核调试( lkd )：

管理员权限启动windbg，ctrl + k --> Local

二，查看进程数据结构

1. 启动计算器

2. !process 0 0                    列出系统内的所有进程

3. dt _EPROCESS 88270030            (查看calc.exe 的EPROCESS结构)

4.!process 88270030          (查看calc.exe 的关键信息)

5. !token b1430a38         (查看calc.exe 的token信息)

6.查看peb （内核模式下，先设置隐式进程）

    .process 88270030                   （设置calc.exe 为隐式进程）

   

   dt _PEB 7ffde000                      （查看calc.exe peb）

   

7.!handle                       （查看calce.exe 句柄表 在calce.exe 进程环境）

.

8. !process 4 0            （查看system进程）

9. 查看 idle 进程

二 ，双机调试（kd） 环境配置：https://blog.csdn.net/huanongying131/article/details/90740286

1.查看双重错误 任务门（软件调试 p301）

2.查看当前任务门(tr)

3.产看中断描述表(idt)

三、UefSndThrd.exe练习（12章）

1.ctrl+e  打开执行文件

2.设置符号路径，源文件路径：

3.下bp断点

4.g 执行

5.继续：

6.从中可以看出：

 主函数插入了一层异常（_XcptFilter） 

四、dump练习

1.用everyting 搜.dmp 发现一堆 tim的dump OK 选一个来练习一下

2.ctrl+d 

3.随便选一个

4. .ecrx （显示异常环境记录，重要的是 该指令还会却换到发生异常的线程环境 

                比如（~ （线程号）s    .process EPROCESS地址） 都是确换环境，有了环境 kn 这些指令才能根据环境获取信息）

5. kv 查看栈回溯

五、蓝屏dump练习

1.本系统C:\Windows 目录下刚好有个MEMORY.dmp文件 直接用它

2.ctrl + d 打开dmp文件

2. BugCheck 7F     （从 debugger.chm（windbg帮助文档）搜索 Bug Check 0x7F）

3. {8, 807ca750, 0, 0}

第一个参数 8

4. 照着文档的流程 练习一下

5. !analyze

6. kv  （上面 可以知道 是哪个驱动导致的（Hooksys.sys）  看一下栈回溯 (分析一下驱动的哪一部分导致的））

7. .tss  0x28   查看任务状态段 （由上图可知是一个 tass gate 中断）

8. kv (上图  可以看出蓝屏是 nt!MiAllocatePoolPages+0x12  看一下哪一部分调到这里的）

 

9. .thread    !thread   （查看线程信息， 蓝屏环境是 当前线程  当前进程）

10. .process  !process （查看当前进程）

11. !analyze -v（一步到位）（1--8 很繁琐  但刚开始分析 需要 理解原理  分析过程）

FAILURE_BUCKET_ID:  0x7f_8_Hooksys+1b2f6     BUGCHECK_STR:  0x7f_8 

      UNEXPECTED_KERNEL_MODE_TRAP (7f)   Arg1: 00000008, EXCEPTION_DOUBLE_FAULT

12. ln   ( 查看最后跳转  LAST_CONTROL_TRANSFER:  from 83cabafe to 83d3247a）

ExpAllocateBigPool ---> MiAllocatePoolPages

六. TEB （24章）

打开计算器calc.exe，windbg F6 -->附加到calc.exe

1.dt ntdll!_NT_TIB

2. u ntdll!NtCurrentTeb

3.dd fs:[18] l1

4. dt ntdll!_NT_TIB 7ffd9000

5. dt _EXCEPTION_REGISTRATION_RECORD 0x0348f8c4

6. !exchain

7. u ntdll!RtlpGetRegistrationHead