windbg中ntsd使用用户态调试器链接到内核调试器的常用技巧

最新推荐文章于 2022-09-03 11:58:48 发布

王cb

最新推荐文章于 2022-09-03 11:58:48 发布

阅读量244

点赞数

始于C#，精于C&C++，醉心于Windows内核与Com组件安全研究

本文链接：https://blog.csdn.net/oShuangYue12/article/details/110946867

版权

启动方法,可以不加-g表示启用初始化断点
在gflags中启用FLG_ENABLE_KDEBUG_SYMBOL_LOAD
添加xxx.exe调试器为ntsd.exe -d -x -g 
效果为增加以下注册表项
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Image File Execution 
也可以以下命令行启动用户态调试器链接到内核调试器
ntsd.exe -d -x -g xxx.exe
Options\xxx.exe\Debugger 
接下来看到内核调试器加载触发断点,以下常用方法
需要SeDebugPrivilege,直接切换到内核调试模式
.breakin 
表示睡眠5000毫秒到内核调试器,睡眠结束后返回用户态调试器
.sleep 5000
列举用户态进程
.tlist -v
从内核态直接返回用户态调试器
 !bpid pid
 也可以用这个方法,结束睡眠返回用户态调试器
 .wake pid