zoukankan      html  css  js  c++  java
  • 内核调试工具笔记

    http://bbs.pediy.com/thread-201125.htm 转


    小白真诚分享不是装逼,大神勿喷!同是小白人,多赞多快乐!
    作者:精灵(^_^)/淘气鬼
    Windows调试员工具包自带有4个不同的调试器
    微软控制台调试器:cdb.exe          用于调试用户模式的应用程序运行于基本的控
    NT符号调试器   NTSD.exe          命令行制台
    微软内核调试器    KD.exe          用于系统内核调试
    微软windows 内核调试 Windbg.exe   窗口类型系统内核调试

    配置CDB.exe
    1.建立调试环境
    2.获取必要的符号文件

    调试环境由三个环境变量组成
    ① _NT_SOURCE_PATH  目标二进制源代码文件路径
    ② _NT_SYBOL_PATH   符号文件目录根节点路径
    ③ _NT_DEBUG_LOG_FILE_OPEN 指定用于记录调试会话框日志文件
    符号文件由两部分组成
    ① 共有符号信息:包含应用程序的函数名、地址、每个局部变量的描述,复合数据类型
    ② 私有符号信息:表述类似于局部变量的程序元素,是源代码执行到机器指令映射更加方便,容易
    文件符号路径:
       SRV*C:Symbols*http://msdl.microsoft.com/download/sysbols
    CDB.exe调试用户模式应用程序方式
    ① CDB.exe启动应用程序               例如:cdb.exe FileName.exe
    ② 将CDB.exe附加至已经运行的进程里cdb.exe -p ProcessID /cdb.exe -pn FileName.exe 
    ③ CDB.exe针对某个进程进行非入侵式调试     cdb.exe -pv -p ProcessID
                                                 Cdb.exe -pv -pn FileName.exe

    以下命令均在windbg下执行
    调试命令行解释及示例:
    bl                列举已存在的断点
    bc breakpoint      删除指定断点
    bp  FunctionName 在指定的函数起点中设置断点
    bp               当前的地址(EIP值)下断点  

    示例:           依次执行以下命令
    bp               现在当前位置下断点
    bp WriteFile       给WriteFile函数起点下断点
    bl               得到如下结果
    bc 0,1            删除ID为0 ,1断点
    bl               得到空列表结果

    -g 忽略程序的入口断点     
    -G 忽略程序的终点
    CTRL B 组合件 再ENTER 紧急逃生出口,有效阻止系统崩溃
    g 执行到下一个断点
    t 执行下一条指令,单步步入F8/F11(相当于OD的F7)
    p 执行到下一条指令,单步步过 F10(相当于OD的F8)
    gu 执行到当前函数结束并返回到上一函数处
    q 退出
    检查符号命令
    x module!symbol     报告指定符号的地址
    x*!                列举当前加载的所有模块
    x module!*          列举指定模块所有的符号及其地址
    x module!symbol*    列举所有与”arg”通配符过滤器匹配的符号
    例如:依次输入以下命令行
    0:000> x*!          列举当前加载的所有模块
    start             end                 module name
    00000000`00400000 00000000`00417000   image00000000_00400000   (deferred)             
    00000000`74a60000 00000000`74a68000   wow64cpu   (deferred)             
    00000000`74a70000 00000000`74acc000   wow64win   (deferred)             
    00000000`74ad0000 00000000`74b0f000   wow64      (deferred)             
    00000000`76f30000 00000000`770d9000   ntdll      (export symbols)       C:WindowsSYSTEM32 tdll.dll
    00000000`77110000 00000000`77290000   ntdll32    (deferred)             

    0:000> x ntdll*!
    00000000`76f311f0 ntdll!RtlWalkHeap (<no parameter info>)
    00000000`76f313a0 ntdll!RtlpEnsureBufferSize (<no parameter info>)
    00000000`76f318a0 ntdll!RtlDeleteAce (<no parameter info>)
    00000000`76f31b24 ntdll!vsnwprintf_s (<no parameter info>)
    00000000`76f31c00 ntdll!RtlCreateActivationContext (<no parameter info>)
    00000000`76f31ec0 ntdll!isalpha (<no parameter info>)
    00000000`76f31ef0 ntdll!ultoa (<no parameter info>)
    …………

    0:000> x ntdll!RtlWalkHeap           报告指定符号的地址
    00000000`76f311f0 ntdll!RtlWalkHeap (<no parameter info>)

    0:000>  x ntdll!RtlWalkHeap*        列举所有与”arg”通配符过滤器匹配的符号
    00000000`76f311f0 ntdll!RtlWalkHeap (<no parameter info>)

    lm                列举所有已加载的所有模块
    !lmi*              扩展命令接收以模块名或者基地址为参数 以显示模块的相关信息
    lm v               同上
    dt                 显示类型命令               
    例如:依次输入以下命令行
    0:000> lm          列举所有已加载的所有模块
    start             end                 module name
    00000000`00400000 00000000`00417000   image00000000_00400000   (deferred)             
    00000000`74a60000 00000000`74a68000   wow64cpu   (deferred)             
    00000000`74a70000 00000000`74acc000   wow64win   (deferred)             
    00000000`74ad0000 00000000`74b0f000   wow64      (deferred)             
    00000000`76f30000 00000000`770d9000   ntdll      (export symbols)       C:WindowsSYSTEM32 tdll.dll
    00000000`77110000 00000000`77290000   ntdll32    (deferred)             
    0:000> !lmi*       扩展命令接收以模块名或者基地址为参数 以显示模块的相关信息
    No export lmi* found
    0:000> lm ntdll
    Unknown option 'd'
    start             end                 module name
    00000000`76f30000 00000000`770d9000   ntdll    ntdll.dll    Sat Nov 20 21:11:21 2010 (4CE7C8F9)
    0:000> lm v       扩展命令接收以模块名或者基地址为参数 以显示模块的相关信息
    start             end                 module name
    00000000`00400000 00000000`00417000   image00000000_00400000   (deferred)             
        Image path: image00000000`00400000
        Image name: image00000000`00400000
        Timestamp:        Sun Apr 05 19:54:38 2015 (5521227E)
        CheckSum:         00000000
        ImageSize:        00017000
        Translations:     0000.04b0 0000.04e4 0409.04b0 0409.04e4
    00000000`74a60000 00000000`74a68000   wow64cpu   (deferred)             
        Image path: C:WindowsSYSTEM32wow64cpu.dll
        Image name: wow64cpu.dll
        Timestamp:        Tue Aug 21 02:48:10 2012 (5032866A)
        CheckSum:         000048A0
        ImageSize:        00008000
        File version:     6.1.7601.17932
        Product version:  6.1.7601.17932
        File flags:       0 (Mask 3F)
        File OS:          40004 NT Win32
        File type:        2.0 Dll

    反汇编命令
    u                 反汇编当前地址开始的8条指令
    u address          反汇编指定地址开始的8条指令
    u start end          反汇编从指定地址到另一个指定地址的指令
    例如:依次输入以下命令行
    0:000> u
    ntdll!CsrSetPriorityClass+0x40:
    00000000`76fdcb60 cc              int     3
    00000000`76fdcb61 eb00       jmp     ntdll!CsrSetPriorityClass+0x43 (00000000`76fdcb63)
    00000000`76fdcb63 4883c438        add     rsp,38h
    00000000`76fdcb67 c3              ret
    00000000`76fdcb68 90              nop
    00000000`76fdcb69 90              nop
    00000000`76fdcb6a 90              nop
    00000000`76fdcb6b 90              nop
    0:000> u 74a70000  反汇编指定地址开始的8条指令,74a70000是wow64win的基址
    *** ERROR: Symbol file could not be found.  Defaulted to export symbols for C:WindowsSYSTEM32wow64win.dll - (出现这个,是因为我还没配置文件符号表路径)(配置方式:文件==》文件符号表路径==》输入:srv*c:symbolslocal*http://msdl.microsoft.com/download/symbols;D:Symbols   c:symbolslocal文件符号暂存地方;http://msdl.microsoft.com/download/symbols  微软文件符号表服务器;D:Symbols 文件符号表自行解压的地方(在不联网的时候可以自行匹配文件符号))
    wow64win:
    00000000`74a70000 4d5a            pop     r10
    00000000`74a70002 90              nop
    00000000`74a70003 0003            add     byte ptr [rbx],al
    00000000`74a70005 0000            add     byte ptr [rax],al
    00000000`74a70007 000400          add     byte ptr [rax+rax],al
    00000000`74a7000a 0000            add     byte ptr [rax],al
    00000000`74a7000c ff              ???
    00000000`74a7000d ff00            inc     dword ptr [rax]

    0:000> u 74a70000 74a7000a         反汇编从指定地址到另一个指定地址的指令
    wow64win:
    00000000`74a70000 4d5a            pop     r10
    00000000`74a70002 90              nop
    00000000`74a70003 0003            add     byte ptr [rbx],al
    00000000`74a70005 0000            add     byte ptr [rax],al
    00000000`74a70007 000400          add     byte ptr [rax+rax],al
    00000000`74a7000a 0000            add     byte ptr [rax],al

    数据显示命令
    db addressRange    显示16进制数据及ASCII字节值(默认数据为128个字节)
    dw addressRange   显示16进制及ASCII字值
    dd addressRange    显示16进制及ASCII码双字
    dps addressRange   显示和解析指针表
    dg start end        显示给定地址范围的段描述符
    .formats   XXXX  将一个数列出他的相关进制的表示
    r                 显示当前所有通用寄存器的各寄存器的当前值

    0:000> db 74a70000  显示pe DOS头文件 16进制数据及ASCII字节值(默认数据为128个字节)
    00000000`74a70000  4d 5a 90 00 03 00 00 00-04 00 00 00 ff ff 00 00  MZ..............
    00000000`74a70010  b8 00 00 00 00 00 00 00-40 00 00 00 00 00 00 00  ........@.......
    00000000`74a70020  00 00 00 00 00 00 00 00-00 00 00 00 00 00 00 00  ................
    00000000`74a70030  00 00 00 00 00 00 00 00-00 00 00 00 f0 00 00 00  ................
    00000000`74a70040  0e 1f ba 0e 00 b4 09 cd-21 b8 01 4c cd 21 54 68  ........!..L.!Th
    00000000`74a70050  69 73 20 70 72 6f 67 72-61 6d 20 63 61 6e 6e 6f  is program canno
    00000000`74a70060  74 20 62 65 20 72 75 6e-20 69 6e 20 44 4f 53 20  t be run in DOS 
    00000000`74a70070  6d 6f 64 65 2e 0d 0d 0a-24 00 00 00 00 00 00 00  mode....$.......

    0:000> dw 74a70000  显示16进制及word 类型ASCII字值
    00000000`74a70000  5a4d 0090 0003 0000 0004 0000 ffff 0000
    00000000`74a70010  00b8 0000 0000 0000 0040 0000 0000 0000
    00000000`74a70020  0000 0000 0000 0000 0000 0000 0000 0000
    00000000`74a70030  0000 0000 0000 0000 0000 0000 00f0 0000
    00000000`74a70040  1f0e 0eba b400 cd09 b821 4c01 21cd 6854
    00000000`74a70050  7369 7020 6f72 7267 6d61 6320 6e61 6f6e
    00000000`74a70060  2074 6562 7220 6e75 6920 206e 4f44 2053
    00000000`74a70070  6f6d 6564 0d2e 0a0d 0024 0000 0000 0000

    0:000> dd 74a70000  显示16进制及ASCII码双字
    00000000`74a70000  00905a4d 00000003 00000004 0000ffff
    00000000`74a70010  000000b8 00000000 00000040 00000000
    00000000`74a70020  00000000 00000000 00000000 00000000
    00000000`74a70030  00000000 00000000 00000000 000000f0
    00000000`74a70040  0eba1f0e cd09b400 4c01b821 685421cd
    00000000`74a70050  70207369 72676f72 63206d61 6f6e6e61
    00000000`74a70060  65622074 6e757220 206e6920 20534f44
    00000000`74a70070  65646f6d 0a0d0d2e 00000024 00000000

    0:000> dps 76fdcb60 76fdcb6b 显示和解析76fdcb60 到76fdcb6b范围内的指针表
    00000000`76fdcb60  c338c483`4800ebcc
    00000000`76fdcb68  90909090`90909090

    0:000> .formats 516adcf  实现数据进制转换
    Evaluate expression:
      Hex:     00000000`0516adcf
      Decimal: 85372367
      Octal:   0000000000000505526717
      Binary:  00000000 00000000 00000000 00000000 00000101 00010110 10101101 11001111
      Chars:   ........
      Time:    Fri Sep 15 10:32:47 1972
      Float:   low 7.08489e-036 high 0
      Double:  4.21796e-316

    使用内核调试器的4中调试方法 
          
    双机调试 (通过连接双主机进行调试)
        这种方式使用道具多,损耗大,恢复慢,但调试真实,执行命令完整。
    本地内核调试
        损耗小,但内核执行命令少
    分析崩溃转储
        只是分析系统崩溃时系统机制转存当前内存的信息,系统分析常用的技能
    虚拟机调试
        在物理机上安装虚拟机,以实现双机调试功能,解决了双机调试道具多,损耗大,恢复慢的问题。虚拟机调试现在已经成为最长用的调试方式,所以一下将详细介绍在虚拟机调试

    调试命令

    CTRL+C        取消调试器命令
    以下三个命令结合起来 实现恢复目标系统正常,并退出调试
    bc *
    g
    CTRL+B  ENTER

    lm n            LoadModule 列举已加载模指令 n为列举数量 如果单纯的lm 则列举全                                         部已加载的模块
    !process 0 0      !process Process Flag    显示指定进程的详细 Flag为5位大小的值,0显示最少,31最多  Process 可以是基址
    .process address   切换到指定地址所属的进程为当前进程
    !peb            扩展命令
    例如:依次输入以下命令行
    0:000> lm n
    start             end                 module name
    00000000`00400000 00000000`00417000   image00000000_00400000 image00000000`00400000
    00000000`74a60000 00000000`74a68000   wow64cpu wow64cpu.dll
    00000000`74a70000 00000000`74acc000   wow64win wow64win.dll
    00000000`74ad0000 00000000`74b0f000   wow64    wow64.dll   
    00000000`76f30000 00000000`770d9000   ntdll    ntdll.dll   
    00000000`77110000 00000000`77290000   ntdll32  ntdll32.dll 
    因为配置符号表,上述几个暂时无法实例,请见谅!
               敬请期待下一期精灵(^_^)/淘气鬼 成长笔记讲解,谢谢!!
  • 相关阅读:
    RestTemplate proxy 设置方式
    一道关于主键,闭包的软考题------关系代数复习-码,范式,闭包求解
    MyBatis的XML中使用内部类的方式
    MyBatis SpringBoot 杂记
    服务器安装笔记
    UML符号
    npm 设置代理
    国外一家代码网站
    设计模式复习
    docker 列出每个容器的IP
  • 原文地址:https://www.cnblogs.com/zengkefu/p/6764107.html
Copyright © 2011-2022 走看看