Windbg+Vmware驱动调试

安装VMWare

想像Ring3层的程序一样单步执行，在断点时候观察变量，修改内存，完全知道程序的运行情况，需要费一些周折，

因为驱动程序运行在Ring0层程序，调试软件不可能是Ring3层的程序，这与无法在二维空间观察三维空间是一样的。

WinDbg软件，它可以调试应用软件（Ring3层程序）、驱动程序（Ring0层程序）和蓝屏存储文件，但是在调试驱动程序时，WinDbg需要两台计算机调试，

一台作为主机（HOST），一台作为目标机（TARGET），用一根串口线或一条1394的电缆将两台计算机连接起来。

要安装尽量高版本的VMWare，首先在VMWare中安装一个虚拟的Windows，我们以安装Windows XP SP2为例。

由于是虚拟的PC，并且调试需要一个串口，因此利用虚拟机的虚拟特性，定制一个虚拟串口。

 闭虚拟机，来到VMWare之后选择对应的虚拟机，对齐进行设置。

注意：如虚拟机中在添加新的串口前已经存在串口了，那么要把原有的串口Remove掉（特别是有些打印会占用串口），否则会导致windbg.exe与虚拟机连接不上。

 

使用“虚拟串口”使其建立一条虚拟的串口，一端是虚拟PC的串口COM1，另一端是Window上的管道。

另外，在虚拟机中找到启动配置文件boot.ini，去掉这个文件的只读属性，用记事本打开Boot.ini。

在我的虚拟系统中C盘下找不到boot.ini文件，后来从网上得到了解决。解决方法是：

打开电脑属性——高级——启动与故障恢复——在系统启动栏目下选择手动编辑，就打开boot.ini了。

注意：\WINDOWS的前面没有空格，否则启动会出现下面错误：

boot.ini大概的内容如下：

[plain] view plain copy

1. [boot loader]  
2. timeout=10  
3. default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS  
4. [operating systems]  
5. multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professional" /noexecute=optin /fastdetect  

上面的Timeout选项为等待时间，可以改短一点，如10，表示等待10秒钟。
在文件的最后增加这样一行内容：

[plain] view plain copy

1. multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="XP Debug"  /fastdetect /debug /debugport=com1 /buadrate=115200  

如果要设置默认进入Debug模式，可以把上面这一行内容加到[operating systems]下面：

[plain] view plain copy

1.  [boot loader]  
2. timeout=10  
3. default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS  
4. [operating systems]  
5. multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="XP Debug"  /fastdetect /debug /debugport=com1 /buadrate=115200  
6. multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professional" /noexecute=optin /fastdetect   

之后保存即可。

2、1、1  VMWare对于驱动程序开发除了调用外的其他作用

我们在真的XP环境下开发驱动，经常会遇到蓝屏的现象，这给开发带来很大的痛苦，但是如果将驱动放到虚拟机上运行，如果出现死机就是重启虚拟机，

不会让真机重启，这大大节省了开发难度。

 

2、2  Windbg设置

给Windbg创建一个快捷方式，设置一下这个快捷方式的属性：在快捷方式的目标后面增加一些命令，我这里是：

[plain] view plain copy

1. "C:\Program Files\Debugging Tools for Windows (x86)\windbg.exe" -b -k com:port=\\.\pipe\com_1,baud=115200,pipe  

 

前面的字符串是Windbg的路径，加上后面的命令就可以了。

之后，最好给Windbg设置一下符号表。打开Windbg，选择菜单项的“File”->“Symbol File Path”,然后填下：

[plain] view plain copy

1. srv*c:\Symbols*http://msdl.microsoft.com/download/symbols  

如上图如果我们勾选了Reload，那么相当于输入了.reload命令，这时开始下载：

表示从网上下载系统对应的符号表到C盘的symbols目录下，只有需要的时候才会下载；对于已经下载的以后就直接用这个文件夹里面的符号表了。

当然实际调试驱动时还要加上自己驱动对应的符号表。当然也可以把系统的Symbols从微软的网站上一次性打包下载下来再解压到C盘的Symbols文件夹。从http://msdn.microsoft.com/en-us/windows/hardware/gg463028可以下载到系统对应的符号表（注意是和虚拟机对应的系统版本）
之后关闭Windbg，会提示是否保存，点击是，保存。

不知为何，符号文件下不下来???????

==========================================================================================

Windbg的设置

Windbg的设置

Windbg本身可以直接从微软的网站上下载
下载地址：http://www.microsoft.com/whdc/devtools/debugging/default.mspx
Windbg的设置其实主要是关于调试符号的设置,没有符号你会很不爽,会忽视掉许多细节,因此调试符号之于Windbg是非常重要的.

1.系统调试符号的设置
首先找个空间足够的位置,XP sp2的调试符号完整一点大概需要1G的空间~~
比如我是在D盘,建立一个MyLocalSymbols文件夹,用来存放系统的符号文件.
然后你可以从微软的网站上下载相应的调试符号包(大要180M~200M大小),要根据你虚拟机中的相应系统版本来下载，安装到MyLocalSymbols文件夹下.
当然,不安装符号包的话也可以设置成调试时自动从网上下载(即使你安装了符号包,有部分内容还是要到网上下载),具体怎么设置稍后讲.
不过我比较喜欢一次搞完,免得每次用的时候都要等它到网上下载比较慢~~

2.自己的调试符号的设置
再建一个文件夹,用于存放我们自己编译出来的驱动的符号文件.单独存放,不要跟系统的混到一起.
我这里就仍在D盘建立一个MySysSymbols文件夹,用于存放自己的符号文件.
然后给这个文件夹创建一个快捷方式,把它放到C:\Documents and Settings\你的用户名\SendTo文件夹下.
这样,以后编译完驱动以后,直接在符号文件上右击->发送到"MySysSymbols"就可以了,很方便~~

3.环境变量的设置
如果你想Windbg启动时自动识别符号路径的设置的话,我们就来建立一个环境变量
在"我的电脑"上右击,"属性"->"高级"->"环境变量",然后我们给当前用记新建一个名为_NT_SYMBOL_PATH的环境变量
值为 :
D:\MyLocalSymbols;D:\MySysSymbols;SRV*D:\MyLocalSymbols*http://msdl.microsoft.com/download/symbols
这样设置以后,系统的调试符号就在D:\MyLocalSymbols下,而我们自己驱动的调试符号就在D:\MySysSymbols下
当符号文件不匹配时,Windbg会自动连网从http://msdl.microsoft.com/download/symbols下载符号文件到D:\MyLocalSymbols,下次再用到时就不用下载了
设置好保存就可以了,修改环境变量需要重新启动系统才能生效~

到这里我再说一点,当你用了一段时间之后,常用的符号文件基本上就全有了，不想等，也可以用一些方法让Windbg马上下载符号文件
直接打一些正确的但是当前符号包中不正确或不匹配的符号名称可以"刺激"Windbg马上到网上下载,我为了节约时间就是这么干的.比如打dt nt!_KPCR,如果你的内核文件TimeDataStamp不匹配(内核等几个核心文件由于更新经常会这样)使得Windbg无法正确显示此符号,它就会马上乖乖地到网上把整个符号文件下载回来~~

在调试符号基本全了以后(调试时基本不再出现Windbg再连网下载符号文件的情况)，建议把环境变量中联网的部分去掉。以我的为例，就是设置成 D:\MyLocalSymbols;D:\MySysSymbols

这样就断了它连网下载的念想，否则你一旦打错个符号，它还是会很负责地上网查找、下载,结果还是找不到，浪费很多时间~~
如果确实某个符号找不到需要临时上网找，那么执行下面命令就可以了
.sympath+ SRV*D:\MyLocalSymbols*http://msdl.microsoft.com/download/symbols
这样就重新恢复了Windbg上网下载符号的能力

现在我们假设你的驱动代码放在D:\mydriver目录中；系统级Symbol文件存放在C:\WINDOWS\Symbols目录中，这些Symbol文件是从微软的网站上http://msdl.microsoft.com/download/symbols下载而来，这个网址是不可以用IE直接打开的，WinDbgà Fileà Symbol File Path...界面中选择Reload，WinDbg会自动帮你下载；驱动生成的Symbol文件存放在D:\mydriver\objchk_wxp_x86\i386目录中。

  a)     设置驱动Symbol路径，WinDbg->File-> Symbol File Path...为  SRV*C:\WINDOWS\Symbols*http://msdl.microsoft.com/download/symbols; D:\mydriver\objchk_wxp_x86\i386

b)     设置驱动源文件路径，WinDbg->File-> Source File Path…为D:\mydriver 

c)     为了保险起见，我们同时设置系统变量。

My Computer -> Properties-> Advanced Tab-> Enviroment Variables->   Add.

_NT_DEBUG_BAUD_RATE=115200 

_NT_SYMBOL_PATH=SRV*C:\WINDOWS\Symbols*http://msdl.microsoft.com/download/symbols

_NT_ALT_SYMBOL_PATH = D:\mydriver\objchk_wxp_x86\i386

_NT_SOURCE_PATH = D:\mydriver 

同时请把驱动编译后生成在D:\mydriver\objchk_wxp_x86\i386目录下的*.pdb、*.sys、*.map、*.exp、*.lib文件一并拷贝到两个系统的C:\WINDOWS\Symbols目录中。 

Windbg基本调试入门

Windbg是基于命令控制的，刚开始觉得烦琐，其实用了之后才发现很强大~~~

1.基本调试控制
运行程序(Run): 快捷键:F5 命令:g
单步步入(Step In)： 快捷键:F8 命令:p
单步步过(Step Over): 快捷键:F10
运行到光标所在行： 快捷键:F7
执行到返回：gu
执行到指定地址：g [Address]
重新运行调试程序: 快捷键:Ctrl+Shift+F5(这个对驱动一般用不到)

2.断点
断点之于调试当然是非常重要的
常用命令：
bp [Address]or[Symbol] 在指定地址下断
可以使用地址或符号，如
    bp 80561259(Windbg默认使用16进制)
    bp MyDriver!GetKernelPath
    bp MyDriver!GetKernelPath+0x12
bp [Address] /p eprocess 仅当当前进程为eprocess时才中断
这个很常用，比如你bp nt!NtTerminateProcess,但是只想在某一进程触发此断点时才断下来，那就加上这个参数吧，因为内核中的代码是各个进程共用的，所以此命令很实用
bp [Address] /t ethread 仅当当前线程为ethread时才中断，用法跟/p参数类似
bu [Address]or[Symbol] 下一个未解析的断点(就是说这个断点需要延迟解析)
这个也很常用，比如我们的驱动名为MyDriver.sys,那么在驱动加载之前下断bu MyDriver!DriverEntry，
然后加载这个驱动时就可以断在驱动入口，并且这个是不需要调试符号支持的
bl 列出所有断点,L=List
bc[id] 清除断点，c=Clear,id是bl查看时的断点编号
bd[id] 禁用断点，d=Disable,id即断点编号
be[id] 启用断点，e=Enable,id为断点编号

3.查看和修改数据
调试中不可避免的要查看和修改数据
查看内存：
db/dw/dd/dq [Address]       字节/字/双字/四字方式查看数据
da/du [Address]           ASCII字符串/Unicode字符串方式查看指定地址
其它常用的如查看结构
dt nt!_EPROCESS
dt nt!_EPROCESS 89330da0 (把0x89330da0作为对象指针)
修改内存：
eb/ew/ed/eq/ef/ep Address [Values]
字节/字/双字/四字/浮点数/指针/
ea/eu/eza/ezu Address [Values]
ASCII字符串/Unicode字符串/以NULL结尾的ASCII字符串/以NULL结尾的Unicode字符串
搜索内存：
s -[b/w/d/q/a/u] Range Target
搜索字节/字/双字/四字/ASCII字符串/Unicode字符串

4.寄存器
在用Windbg调试时可以Alt+4直接调出寄存器窗口，然后拖放到合适的位置就可以。
要修改呢就直接双击相应的项就可以了。
把命令的方式也说一下，比较简单：
r 显示所有寄存器的值
r eax 显示eax的值
r eax=1 修改eax的值为1

5.辅助命令
!process 显示当前进程信息
!process 0 0 显示当前所有进程(会有僵尸进程)
!process 1f4 显示pid为1f4的进程信息，后面也可以跟eprocess的值
!thread 显示当前线程信息
!thread
!process 1f4 显示tid为768的线程信息，后面也可以跟ethread的值
栈相关:
k 显示调用栈
kb 显示ebp和前3个参数
kp 以函数调用形式显示栈

以上就是常用的命令了~~~

来个简单的实践过程，步骤如下：
1.编译好你的驱动，假设名为ShowSSDT.sys，并把驱动符号文件ShowSSDT.pdb发送到MySysSymbols文件夹下（之前设定的自己的调试符号文件夹）
2.启动虚拟机，选择调试方式进入系统
3.迅速打开“双机调试”，建立调试连接，详细过程第二节讲过了
4.等待虚拟机中系统启动完毕（不等也行，反正下断要在驱动加载之前就行了）
5.在Windbg中按下Ctrl+Break，输入bu ShowSSDT!DriverEntry，回车确认，然后输入g命令继续执行
6.把ShowSSDT.sys拖到虚拟机中，在虚拟机系统中启动InstDrv，加载此驱动
7.回到Windbg窗口，如果一切正常的话，你会看到已经中断在ShowSSDT.sys的入口代码处了
接下来，要单步还是要下断点、要继续执行什么的，就全由你来作主了~~

WinDBG调试断点命令详解

WinDBG 提供了多种设断点的命令：bp, bu, bm, ba。

bp命令是在某个地址下断点，可以bp 0x7783FEB，也可以bp MyApp!SomeFunction。对于后者，WinDBG会自动找到MyApp!SomeFunction 对应的地址并设置断点。 但是使用bp的问题在于：1）当代码修改之后，函数地址改变，该断点仍然保持在相同位置，不一定继续有效； 2）WinDBG 不会把bp断点保存工作空间中。所以，我比较喜欢用bu命令。

bu命令是针对某个符号下断点。 比如bu MyApp!SomeFunction。在代码被修改之后，该断点可以随着函数地址改变而自动更新到最新位置。而且bu断点会保存在WinDbg工作空间中，下次启动Windbg的时候该断点会自动设置上去。

另外，在模块没有被加载的时候，bp断点会失败（因为函数地址不存在），而bu断点则可以成功。新版的WinDBG中bp失败后会自动被转成bu。

bm命令也是针对符号下断点。 但是它支持匹配表达式。很多时候你下好几个断点。比如，把MyClass所有的成员函数都下断点：bu MyApp!MyClass::* ，或者把所有以CreateWindow开头的函数都下断点：bu user32!CreateWindow* 。

以上三个命令是对代码下断点， 我们还可以对数据下断点。
ba命令就是针对数据下断点的命令，该断点在指定内存被访问时触发。命令格式为
ba Access Size [地址]

Access是访问的方式，比如e(执行)，r(读/写)，w(写)

Size是监控访问的位置的大小，以字节为单位。值为1、2或4，还可以是8（64位机）。
比如要对内存0x0483DFE进行写操作的时候下断点，可以用命令 ba w4 0x0483DFE

这里顺便提以下其他断点命令：

• bl 列出所有断点
  
• bc 清除断点
  
• bd 禁用断点
  
• be 启动被bd 命令经用的断点