Windows调试工具入门-3-WinDbg内核调试配置 - CSDN博客
Windows调试工具入门-3-WinDbg内核调试配置
内核调试主要用来调试驱动代码、分析内核结构等。 WinDbg通过两台电脑可以实现内核调试，其中一台电脑运
行WinDbg，被称为主机；另外一台电脑运行被调试的程序或系统，被称为目标机。一般情况下两台电脑都是真实机
器，这样调试最符合实际情况，两台电脑通过串口线、 1394线或USB对联线连接起来实现双机内核调试。如果没 有
两台电脑，也可以用虚拟机来模拟目标机，主机上运行WinDbg ，虚拟机中***Windows运行被调试的程序，虚拟
机通过模拟的串口输出为主机上的一个命名管道，从而和主机上的WinDbg连接起来实现双机 内核调试。
&&& 除双机内核调试外， WindowsXP后还引入了一种本机内核调试方式，只需要一台电脑，直接运行WinDbg就 能
查看修改系统内核结构等，不过所有和中断目标机系统相关的命令都不能执行，如断点命令。
&&&& 如果采用虚拟机模拟目标机，调试响应速度有时候是个问题，比1394线连接的真实双机调试速度要慢不少，特
别是执行操作大量内存的命令时（如搜索内存命令），感觉非常明星。所以针对这种情况还会介绍一个特殊的辅助调 试
工具vmkd ，该工具可以大大加速内核调试的速度，为咱们带来不少方便。
&&& 下面分节详细介绍各种内核调试情景下的配置，尽量每个步骤都截图说明。
真实机双机内核调试
&&& 真实机之间的内核调试首先需要准备连接线，可以用串口线、 1394线或者USB对联线。
&&& 串口线速度太慢，而且电脑城一般买不到可以直接使用的串口线，需要把线和接头买回来自己焊，按照WinDbg
帮助中的说明交叉焊接，就能得到一根可用来调试的串口线。用串口线把两台电脑连接上后，先用Windows自带的
超级终端工具，选择好串口和波特率连接。如果在超级终端中按键能在另外一台电脑的超级终端上显示按键，则表示
串口线连接成功。接下来就可以用WinDbg连接串口调试。某些笔记本上可能没有串口，可以买一个USB转串口的
接头，然后设置USB转换后的串口号，就能把这台笔记本当作主机使用。
&& 1394线速度快，价格也便宜，如果电脑上没有1394口，可以再另外买一个1394卡，价格也很便宜。 1394分
大口和小口，只需按照电脑上的接口大小购买合适的线就行。如果没有1394口，装一个1394卡又很麻烦，则也可
以买一个USB转1394口的接头，不过一样只能当作主机使用。
&& USB对联线是Vista系统以后支持的内核调试连接方式，没见到哪里能买到这样的线，估计速度会更快一点吧！
&& 因为1394线连接调试最方便，速度也比较快，所以建议使用这种方式。
&&& 电脑、连接线等准备好后，先设置目标机系统，启用内嵌在系统中的内核调试引擎。 Vista之前的系统，用记事 本
打开系统盘根目录下的boot.ini文件，添加新的启动项，在新的启动项上添加调试选项。如下表，红色行表示新加的
启动项， /debug表示打开内核调试引擎， /debugport=1394表示采用1394连接方式， /channel=10表示设置 通
道号为10。
&& Vista之后的系统需要修改BCD数据库，利用bcdedit工具添加启动项，设置调试选项。如下表，以管理员方 式
运行命令行程序，先复制当前项生成新的启动项，然后在新的启动项上操作，打开内核调试、设置调试连接方式、设
置1394通道号。
&&&& 设置完目标系统后重启，在选择启动菜单时停下来，在主机上通过如下命令行运行WinDbg准备连接到目标机
-d表示在连接上目标系统后马上中断下来，这个也是最早的断点，该选项主要是为了在目标系统初始化早期就断下 来
查看系统状态，当前情况下可以不要，1394:channel=10表示连接方式和通道号。第一次采用1394内核调试时，
WinDbg可能会显示启动驱动失败，再次运行WinDbg应该就好了。运行WinDbg后，显示如下界面：
表示WinDbg已经准备好，正在等待1394连接。然后返回目标机，选择前面添加的启动项（也就是打开了内核调 试
选项的启动项），如下图，真实机器无法截图，这里用虚拟机截图代替。
选择该启动项后，系统就会加载内核，初始化内核调试引擎，不一会（几秒钟）就能在主机的WinDbg上看到输出信
息，接着中断在WinDbg中，如下图（写这篇文章时还是用的虚拟机截图，呵呵）：
可以看到WinDbg显示已经连接到WindowsXP系统上，并显示了符号路径、内核基址等信息，然后中断下来得到 控
制权，输入k命令可以看到当前调用栈，输入g命令让目标系统继续启动。开始调试后，在WinDbg中可以随时按
Ctrl+Break组合键或通过工具栏按钮中断目标系统。
&&& 如果前面运行WinDbg时不习惯命令行方式，也可以先打开WinDbg ，然后选择菜单File/KernelDebug打开
内核调试连接对话框，切换到第二个 “ 1394” 选项卡，在channel下面的编辑框中输入通道号10，点击 “ 确定 ” 按
钮开始连接目标机。
这样和前面命令行运行WinDbg的效果一样，就是没了 -d选项，可以在等待连接的界面上按两次Ctrl+Alt+k组合 键
达到相同的效果
&&&&& 真实机采用1394调试时，如果目标机系统是Windows2003 （未***ServicePack ）或者WindowsXPSP 1，
则连接调试前，需要先在目标机上的 “ 设备管理器” 中禁用1394控制器。如果目标机上是Vista、 Windows2003SP1
或者WindowsXPSP2等系统之后的系统，则不要禁用1394控制器。另外，如果主机是Vista之前的系统，用1 394
调试时连接有问题，则可以尝试在主机的 “ 设备管理器” 中禁用1394网络适配器。
虚拟机双机内核调试
&&&& 真实机毕竟硬件成本高，需要两台电脑，还得买连接线。如果调试要求不高，很多情况下可以用虚拟机模拟目标
机，实现双机内核调试。当前常用的虚拟机有两种： VMWare和VirtualPC ，都提供了免费版本，运行速度相当于主
机的一半左右。估计现在大家都是双核的电脑，运行虚拟机还是没问题的。 VMWare似乎速度要快一点点，而且提 供
的快照功能非常方便，可以随时把系统还原到以前保存的状态。 VirtualPC似乎兼容性要好一点，有时候在VMWare
上***系统蓝屏，用VirtualPC就没问题。
&&& 首先也是选择连接方式，用虚拟机只有一种串口方式，通过虚拟机模拟的串口输出到主机上的命名管道，然后
WinDbg连接这个命名管道，从而实现主机和虚拟机的连接。
&& 在虚拟机中***好系统后，关闭虚拟机系统，打开虚拟机系统的设置框， VMWare中如下图：
选择Editvirtualmachinesettings ，打开设置对话框：
首先选择Add... 按钮添加Serial设备，然后按照上图设置Serial属性。命名管道名称为WinDbg连接时需要用到的
管道名，&前缀不可少，后面接一个容易理解的名称即可。
VirtualPC虚拟机也差不多，先***好系统，选择系统，点击Settings按钮：
打开虚拟机系统设置对话框，选择左边的COM1项，在右边设置输出的命名管道名称。
&&&& 设置好硬件连接方式后（这里是虚拟硬件），启动虚拟机中的系统，添加调试启动项。因为虚拟机只是虚拟了串 口，
所以设置系统启动项时只能使用串口方式。 Vista之前的系统通过修改boot.ini文件实现，如下表。红色项表示新添
加的启动项， /debug表示打开内核调试引擎， /debugport=com1表示采用串口1通信， /baudrate=115200设
置串口1的波特率为115200 。
Vista之后的系统，以管理员权限打开命令行窗口，通过bcdedit工具修改BCD数据添加启动项。
设置好启动项后，重启虚拟机中的系统，在选择启动菜单项时停下来，返回主机，通过命令行启动WinDbg。
注意红色字表示的管道名称，需要和虚拟机中的设置一样。这里照样可以通过菜单打开内核调试连接对话框来操作。
注意管道名称要一致，选中Pipe项，然后确定，WinDbg则会开始等待连接。
此时返回虚拟机中选择调试启动项，一会就能看到WinDbg中显示连接上虚拟机的信息
&&&& 建立连接后，就和调试真实机一样，操作也一样。只有当调试某些和特殊硬件相关的驱动，或者调试和3D游戏
相关的程序时，还是得用到真实机。另外，运行虚拟机毕竟影响主机速度，特别是读取硬盘时感觉比较明显。而且当
WinDbg中断下目标系统后，虚拟机基本上就把CPU给占满了，双核时还好，单核时搞的主机都没办法动。当然调试
速度也是个问题，照理说都是一台电脑（虚拟机也还是运行在主机上），传输速度应该很快。但因为串口是完全模拟 的，
串口设计决定了速度不可能快，所以下面介绍一个用于虚拟机调试时的加速工具： vmkd 。
&&&&&&&&&&&&& Vmkd是内核调试高手Skywing推出的一个工具，主要用于加快VMWare内核调试的速度，官方网站在：
&。 vmkd相当于接管了内核调试引擎传输通道，以前是：虚拟机系统内
核 &-&模拟串口 &-&命名管道 &-&WinDbg，使用vmkd后变成：虚拟机系统内核&-&vmkd内核模块kdvmware &-&vmkd注入模块vmxpatch&-&新的命名管道 &-&WinDbg，因为不走虚拟机的模拟串口传输数据，而是虚拟机端
的kdvmware和主机端的vmxpath直接复制内存，所以传输速度大大加快。
详细使用步骤如下：
1.在虚拟机中***好系统，并按照前一节所述设置好串口调试。
2.把vmkd带的kdvmware.sys复制到虚拟机中C:\WINDOWS\system32\drivers目录下，在虚拟机中使
用 命 令 行sccreatekdvmwarestart=demandtype=kernelbinPath=
c:\windows\system32\drivers\kdvmware.sysDisplayName=kdvmware***驱动。
3.重新启动虚拟机中的系统，选择调试启动项进系统。
4.在主机上找到启动虚拟机的vmware-vmx.exe进程的pid ，利用vmxinject.exepid命令把vmxpatch. dll
注入到vmware-vmx.exe进程
5.在虚拟机中通过netstartkdvmware命令启动驱动。
6.在主机上启动WinDbg连接虚拟机中的系统开始调试，命名管道名称中的winxpen是虚拟机系统的***文
件夹（比如： d:\VMs\winxpen ）。
命名管道名称如果不确定，可用WinObjEx工具查看系统中的所有命名管道名，如下图，最下面的就是vm kd
使用的管道名。
连接后如下图：
此时再调试会发现单步速度非常快，运行一下搜索命令s就能感觉出来，甚至.dump命令也很快能执行完。
本机内核调试
&&&& 本机内核调试是WindowsXP之后的系统引入的一种内核调试方式，说调试其实有点不准确，因为没有单步、 断
点等调试必备的功能，只能读写内存。不过用来查看系统内核信息时还是非常方便的，不需要两台电脑（连虚拟机也
不需要，完全在本机运行），能够利用大部分WinDbg自带的扩展命令，在XP以后的系统上都能使用，包括32/64
&&&&& 在Windows2003SP1之前的系统上，系统通过ntdll!ZwSystemDebugControl函数提供本机内核调试支 持。
之后的系统通过WinDbg自带的kldbgdrv.sys驱动调用nt!KdSystemDebugControl函数提供本机内核调试支持 。
官方文档建议在启动项中添加 /Debug选项启动系统，然后使用本机内核调试功能。但一般情况下不需要这么做， Vista
之前的系统上，可以直接运行WinDbg打开本机内核调试；Vista及之后的32位系统，可以利用笔者写的一个小工
具VistaLKD开启本机内核调试功能，再运行WinDbg打开本机内核调试；Vista及之后的64位系统暂时只能修改
启动项添加 /Debug选项来开启本机内核调试功能。
&&&& 启动本机内核调试非常简单，加上 -kl命令行启动WinDbg即可
显示界面如下：
也可以运行WinDbg后打开内核调试连接对话框，选择Local选项页，点击 “ 确定 ” 按钮打开本机内核调试功能
&&& Vista及以后的系统，记得先以管理员权限运行VistaLKD工具，点击Enablelocalkerneldebug按钮开启本
机内核调试功能，然后再以管理员权限运行WinDbg打开本机内核调试。
本机内核调试下可以做很多事情，比如查看内核结构定义、反汇编内核函数、显示内核Hook等。
本文已收录于以下专栏：
相关文章推荐
试是软件开发过程中一个必不可少的环节，在 Linux 内核开发的过程中也不可避免地会面对如何调试内核的问题。但是，Linux 系统的开发者出于保证内核代码正确性的考虑，不愿意在 Linux 内核源代码...
本文介绍windows常用开发与调试工具。
DebugView是大家常用的查看内核打印输出的工具之一。
最近因为调试系统变成了win7，使得DebugView无法查看内核打印，只能查看上层输出。
在网上搜索了有关的配置信息，归结为两种方法：...
OutPutDebugString(TEXT(&在调试器里输出的类容&));
#define MAXDUGBUFF 20
#define OutError(ErrorEvent)
开发程序调试时不可避免的，一起在资源里面我放过一个“trace.h”的一个文件，可以自动建立窗口显示调试信息，但是这个程序在高速执行的时候，调试界面容易崩溃。
当然，写log日志，只最常见的调试方...
原贴：http://blog.csdn.net/jiankunking/article/details/
debugview 可以捕获程序中由TRACE(debug版本)和O...
软件下载地址：点击打开链接
debugview 可以捕获程序中由TRACE(debug版本)和OutputDebugString输出的信息。支持Debug、Release模式编译的程序（即该软件捕获的...
/wesley0312/item/e8fabe3785daa51
1) 导入注册表文件, 显示kdprint调试信息
Windows...
在写windows程序时，需要输出一些调试信息，这里介绍一种极其方便的方法。即使用OutputDebugString 在Debug模式下输出调试信息，在Release模式下不输出。
我们可以在VS的集...
如果需要通过实验来了解windows操作系统，免不了要进行内核调试，这边文章把一些内核调试途径和方法罗列下。 
实验环境 
Windows 8 Enterprise+ Hypher V ...
他的最新文章
讲师：王禹华
讲师：宋宝华
您举报文章：
举报原因：
原文地址：
原因补充：
(最多只允许输入30个字)