【转帖】使用WinDBG和VMware调试驱动程序

落日映苍穹つ 2022-08-23 15:55 226阅读 0赞

环境的搭建参考： [http://hi.baidu.com/1ian9yu/blog/item/bbaf1301240d7ad3267fb524.html][http_hi.baidu.com_1ian9yu_blog_item_bbaf1301240d7ad3267fb524.html]，这里只说调试。

还是先统一一下名称，真实的操作系统叫HostOS，在VMware里虚拟的操作系统叫GuestOS。

我们编写完驱动后，当然要进行调试，这不可能在HostOS（本机）里调试，否则BOSD就麻烦了，而且支持本机调试的调试器比较流行的只有softice，这个东西早就停止更新了，而且对目前的操作系统的支持更是非常不好。所以使用WinDBG和VMware调试驱动程序绝对是我们最佳的选择。

驱动的加载和卸载是必须的步骤，你总不会希望每次修改驱动后需要重启系统才能进行调试吧？加载和卸载的代码其实很简单：

// \*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*  
// function : LoadDriver  
// purpose : 加载驱动  
//  
// parameter : \[IN\] lpPath 驱动的完整路径  
// \[OUT\]  
//  
//  
// author : liangyu  
// created : 2008-7-10 17:19  
// \*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*  
BOOL CSSDTToolGuiDlg::LoadDriver(LPTSTR lpPath)  
\{  
SC\_HANDLE hSCManager = OpenSCManager(NULL, NULL, SC\_MANAGER\_ALL\_ACCESS);  
if ( NULL == hSCManager )  
\{  
return FALSE;  
\}

SC\_HANDLE hService = CreateService( hSCManager, \_T("SSDTTool"),  
\_T("SSDTTool Driver"), SERVICE\_ALL\_ACCESS,  
SERVICE\_KERNEL\_DRIVER, SERVICE\_DEMAND\_START,  
SERVICE\_ERROR\_IGNORE, lpPath, NULL, NULL, NULL, NULL, NULL );  
if ( NULL == hService )  
\{  
if (ERROR\_SERVICE\_EXISTS == GetLastError())//如果是"已经存在该驱动"导致的错误则继续  
\{  
hService = OpenService( hSCManager, \_T("SSDTTool"), SERVICE\_ALL\_ACCESS);  
\}  
else  
\{  
return FALSE;  
\}  
\}

StartService( hService, 0, NULL );  
CloseServiceHandle( hService );  
CloseServiceHandle( hSCManager );

return TRUE;  
\}

// \*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*  
// function : UnLoadDriver  
// purpose : 卸载驱动  
//  
// parameter : \[IN\] lpName 服务（驱动在SCM注册的）名字  
// \[OUT\]  
//  
//  
// author : liangyu  
// created : 2008-7-10 17:41  
// \*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*\*  
BOOL CSSDTToolGuiDlg::UnLoadDriver(LPTSTR lpName)  
\{  
SC\_HANDLE hSCManager = OpenSCManager(NULL, NULL, SC\_MANAGER\_ALL\_ACCESS);  
if ( NULL == hSCManager )  
\{  
return FALSE;  
\}

SC\_HANDLE hService = OpenService( hSCManager, lpName, SERVICE\_ALL\_ACCESS);  
if ( NULL == hService )  
\{  
return FALSE;  
\}

SERVICE\_STATUS ss;  
ControlService( hService, SERVICE\_CONTROL\_STOP, &ss );  
DeleteService( hService );  
CloseServiceHandle( hService );  
CloseServiceHandle( hSCManager );

return TRUE;  
\}

其实有人已经写好这个用途的工具了，《Rootkits: Subverting the Windows Kernel》提到的InstDrv（[www.rootkit.com/vault/hoglund/InstDvr.zip][www.rootkit.com_vault_hoglund_InstDvr.zip]），也有国内的网友写好了一个中文版的（[http://hi.baidu.com/coderui/blog/item/670a25fb4912b161024f566e.html][http_hi.baidu.com_coderui_blog_item_670a25fb4912b161024f566e.html]），功能更齐全。我们就用它来加载和卸载要调试的驱动。

好了，开始。按照之前的说明搭好调试环境后，先用WinDBG连上VMware，如果GuestOS阻塞了，则在WinDBG输入命令“g”，然后回车，直到让GuestOS跑起来。我们把编译好的驱动文件(\*.sys)放到GuestOS里，回到WinDBG，按“Ctrl+Break”，WinDBG会让GuestOS暂停下来，我们也可以在WinDBG的命令栏输入命令了，如下：

![0fbbbc38e3716532b9998f68.jpg][]

在这里输入“bu drivername!driverentry”（大小写不限）可以在驱动的DriverEntry函数的入口点下一个延迟断点，其实BU的意思就是**Set Unresolved Breakpoint**，WinDBG会记住这个断点，当这个驱动被加载了并且执行到这个地方，WinDBG会暂停GuestOS让你进行调试操作。drivername是你的驱动名字，比如我在这里的驱动名字是SSDTTool，那我在这里输入的命令如下：

![bbaa7fc4682bcfbf8326ac5d.jpg][]

回车后即下好断点了。现在打开源文件，源文件在HostOS呢。“Ctrl+O”找到驱动的源文件打开，如图：

![12ffc50fe94a5b3c6159f319.jpg][]

还要设置符号路径。“Ctrl+S”打开设置窗体，符号路径一般有两个（可以有多个），一个是你设置保存系统DLL的PDB文件的路径，另一个是你驱动的PDB的路径，以分号隔开。如下：

![de3b403f355d28d47c1e71f7.jpg][]

记得勾选“Reload”，OK后稍等片刻，等WinDBG把这些东西加载完毕后再操作。加载完后我们输入“g”，回车，让GuestOS跑起来。在GuestOS里运行驱动加载/卸载工具把我们的驱动加载起来。可以看到，已经断下来了，我们可以源码调试驱动了：

![ceef8438179f77e4b311c7c2.jpg][]

注：打开源文件和设置符号路径可以在一开始的时候就做，这是没有严格先后顺序的。

[http_hi.baidu.com_1ian9yu_blog_item_bbaf1301240d7ad3267fb524.html]: http://hi.baidu.com/1ian9yu/blog/item/bbaf1301240d7ad3267fb524.html
[www.rootkit.com_vault_hoglund_InstDvr.zip]: http://www.rootkit.com/vault/hoglund/InstDvr.zip
[http_hi.baidu.com_coderui_blog_item_670a25fb4912b161024f566e.html]: http://hi.baidu.com/coderui/blog/item/670a25fb4912b161024f566e.html
[0fbbbc38e3716532b9998f68.jpg]: /images/20220823/00cc46e5b28a46499600bff59b56369a.png
[bbaa7fc4682bcfbf8326ac5d.jpg]: /images/20220823/d4235e3991ba44e78e25b909b7b69fda.png
[12ffc50fe94a5b3c6159f319.jpg]: /images/20220823/48235adc2da94161b7b11b2486c7638b.png
[de3b403f355d28d47c1e71f7.jpg]: /images/20220823/1794d9ffc9bd4460ae551a436b575397.png
[ceef8438179f77e4b311c7c2.jpg]: /images/20220823/5fc8e05a955f4a44a9ec407b575dc44f.png

发表评论取消回复

表情：

评论列表（有 0 条评论，226人围观）

还没有评论，来说两句吧...

相关阅读

相关【转帖】使用WinDbg和虚拟机调试Windows驱动程序

使用WinDbg和虚拟机调试Windows驱动程序 2008-10-08 09:40 <table style="TABLE-LAYOUT: fixed"> <tbod

超、凢脫俗/ 2022年08月23日 15:56/ 0 赞/ 226 阅读

相关【转帖】驱动调试攻略(WinDbg)

驱动调试是一个系统级调试方式，所以调试工具用WinDbg是最佳选择。驱动调试一般情况下，需要两台电脑进行。一台作为主机进行驱动调试，另一台作为目标机进行驱动安装。当然如果没有多

淩亂°似流年/ 2022年08月23日 15:55/ 0 赞/ 398 阅读

相关【转帖】实战windbg调试驱动例子

这几天上网查了一些关于WINDBG的资料,发现很多朋友在寻找关于WINDBG的教程. (呵呵,我也在寻找有关于此的一些材料) 本来是一想写关于sr.sys的分析的,不过

￡神魔★判官ぃ/ 2022年08月23日 15:55/ 0 赞/ 233 阅读

相关【转帖】驱动编写与windbg调试

一．驱动编写随着对 windows 系统的深入研究，越来越多的内核方面的知识被挖掘出来了，今天我们讨论下如何写一个简单的驱动，并使用现在比较新的windbg调试器进行调试

叁歲伎倆/ 2022年08月23日 15:55/ 0 赞/ 262 阅读

相关【转帖】使用WinDBG和VMware调试驱动程序

环境的搭建参考： [http://hi.baidu.com/1ian9yu/blog/item/bbaf1301240d7ad3267fb524.html][http_hi.b

落日映苍穹つ/ 2022年08月23日 15:55/ 0 赞/ 227 阅读

相关【转帖】WinDBG+VMware=调试内核

呵呵，搞点突兀的标题而已。其实说的还是如何使用WinDBG和VMware来搭建调试内核的环境而已，这些网上已经有数不清的教程了，不过我喜欢自己亲手写一下。第一，把这个过程写一遍

「爱情、让人受尽委屈。」/ 2022年08月23日 15:55/ 0 赞/ 305 阅读

相关【转帖】利用VMWare和WinDbg调试驱动程序

心里总感觉 SOFTICE 的发展快到末路了。果然在 2006 年时Compuare 宣布停止 SOFTICE 开发。这里消息确实令很多人心痛。但与此同时，Windows 的配

Love The Way You Lie/ 2022年08月23日 15:55/ 0 赞/ 221 阅读

相关 [转载]利用VMWare和WinDbg调试驱动程序

这几天上网查了一些关于WINDBG的资料,发现很多朋友在寻找关于WINDBG的教程. (呵呵,我也在寻找有关于此的一些材料) 本来是一想写关于sr.sys的分析的,不过觉

我不是女神ヾ/ 2022年08月23日 15:55/ 0 赞/ 189 阅读

相关【转帖】VMWare和WinDbg调试驱动程序环境配置

首先，最好先下载符号表，然后安装到真实系统中。再下载WinDbg程序的最新版本，同样也安装到真实系统中。接下来我们要在虚拟机中装系统了，我用的是WinXP SP2。安

落日映苍穹つ/ 2022年08月23日 15:55/ 0 赞/ 186 阅读

相关 [转载]利用VMWare和WinDbg调试驱动程序

也许很多人早就知道了，但是我不知道，以前一直抓住softice大腿不放，但是由于在我的Hyber Thread处理器上，Softice实在是运行的太不理想了。故而只能利用Win

你的名字/ 2022年08月23日 15:55/ 0 赞/ 191 阅读