观察Windows的内核模块、数据结构和函数

观察Windows的内核模块、数据结构和函数

1， 启动WinDbg的本地内核调试（File > Kernel Debug… > Local）。

2， 键入.symfix c:"symbols设置符号服务器和用于存储符号文件的本地目录。

3， 键入.sympath观察当前的符号路径。其结果应该如下所示：

lkd> .sympath

Symbol search path is: SRV*c:"symbols*http://msdl.microsoft.com/download/symbols

4， 键入.reload重新加载符号。可能需要较长时间，请耐心等待。

5， 键入lm命令列出所有内核模块。寻找HAL，NT等模块，观察其在内存中的起止位置。

6， 键入!process 0 0命令列出当前系统内运行的所有进程。

7， 键入!process 4显示系统进程（System）的概况和各个线程。记录下该进程的进程结构（PROCESS）地址。

lkd> !process 4

Searching for Process with Cid == 4

PROCESS 86fb7660 SessionId: none Cid: 0004    Peb: 00000000 ParentCid: 0000

    DirBase: 00039000 ObjectTable: e1001c78 HandleCount: 396.

    Image: System

    VadRoot 86fae870 Vads 4 Clone 0 Private 3. Modified 124205. Locked 0.

    DeviceMap e1005470

8， 通过dt命令（dt nt!_EPROCESS）观察进程的_EPROCESS结构。

9， 在dt nt!_EPROCESS命令后加上第7步记录下的地址，显示系统进程的_EPROCESS结构的各个值。

lkd> dt nt!_EPROCESS 86fb7660

   +0x000 Pcb              : _KPROCESS

   +0x06c ProcessLock      : _EX_PUSH_LOCK

10，              键入x nt!*命令列出内核文件（NTOSKRNL）所包含的符号。尝试使用不同的表达式来选择显示某些符号，比如x nt!Dbgk*显示所有以Dbgk开头的符号。

11，              关闭WinDbg结束调试。