使用windbg在内核模式下调试时，如何在程序的入口点中断？

Question

我想在内核模式下调试程序，并且想破坏该程序的入口点，例如ollydbg 。 但是我不能用bp破坏它，因为程序没有启动并且符号不能被加载。 我找到了一些方法来做，但是我认为不是很好。

1.中断内核中的CreateProcess函数。 但是我不知道应该确切地中断哪个功能，我认为CreateProcess和程序的入口之间还有很长的路要走。

2.使用cc更改程序的入口点。 但是它需要其他工具，我应该在字节变回原处更改代码。 我觉得这很烦人。

3.借助ollydbg 。 在用windbg调试的虚拟机中用ollydbg调试程序。 我认为这不是一个好主意。

4.使用sxe ld 。 可以在<<Advanced Windows Debugging>> Listing 3.29中找到它。 我已经尝试过，但发现它仅在第一次使用时有效。 而且我不知道休息后我该怎么办。

5.使用bu中断输入功能。 但是我也不知道我该怎么做。 例如，如何加载符号？

6.使用.create 。 我不知道我说的话是否正确。

我认为使用windbg在内核模式下进行调试时，通常会中断程序的入口，而使用强大的windbg则必须有一种好的方法。 最好的方法是什么？

顺便说一下，我想在内核模式下调试程序，因为我想获得程序的令牌值。 我发现在用户模式下，windbg可以使用!token来识别令牌，但是我不知道如何在用户模式下获取令牌的值。 看来我只能在内核模式下获得令牌的值，对还是错？

Answer 1

您可以通过ntsd -d在目标中运行任何exe，以从主机中运行的内核模式调试器对其进行调试

假设您正在myhost中运行虚拟机mytarget

在myhost中安装windbg
设置myhost viz srv * x：\\ xxxx * http：\\ xxxxxxxxxxxx的符号路径
在主机中创建内核连接（选择下面显示的最好的是串行连接）

X：\\ xxxx \\ windbg.exe -k com：pipe，port = \\\\。\\ pipe \\ debugPipe，resets = 0，重新连接

在mytarget中安装windbg
打开共享文件夹z：\\指向myhost中的symbolcache文件夹，在mytarget中设置symbolpath指向共享文件夹，运行ntsd -d calc.exe

输入提示时，kd将在calc.exe的$ exentry断开

只要显示输入提示，您就像本地用户模式调试器一样使用kd，因此，如果您设置bp calc！Winmain并发出g kd，将在calc.exe winmain上中断

进入kd会话使用.breakin

杂乱无章的东西，但是一旦习惯了就可以很好地工作（即记住文档）

样品运行

kd> g   <-------------- kd session running in myhost

CommandLine: calc.exe 
Symbol search path is: srv*z:\
*http://msdl.microsoft.com/download/symbols

ntdll!DbgBreakPoint:
7c90120e cc              int     3

.sympath
NOTE: The symbol path for this ntsd is relative to where
ntsd.exe is running, not where kd.exe is running.
Symbol search path is: srv*z:\
*http://msdl.microsoft.com/download/symbols
Expanded Symbol search path is: srv*z:\
*http://msdl.microsoft.com/download/symbols

.reload /f calc.exe

lm m calc
start    end        module name
01000000 0101f000   calc       (pdb symbols)          z:\calc.pdb\3B7D84101\calc.pdb

0:000> version  <--------------------usermode session in kd via ntsd -d 
version
Windows XP Version 2600 (Service Pack 3) UP Free x86 compatible

Live user mode: <Local>

command line: 'ntsd -d calc.exe'  Debugger Process 0x3F8 

? $exentry;? calc!WinmainCrtstartup
Evaluate expression: 16852085 = 01012475
Evaluate expression: 16852085 = 01012475

关于您的原始请求，我不确定您有兴趣找到什么令牌

如果获取exe的EPROCESS-> Token是唯一的要求，则不必运行任何kd会话

您可以使用本地内核调试会话（使用kd -kl或通过sysinternals使用livekd）获取myhost中所有正在运行的进程的令牌。

这是一个简单的脚本，使用上述技术获取所有正在运行的进程的sid

:\>cat sid.txt
!for_each_process "r $t0 =(@@c++(((nt!_eprocess *) @#Process )->Token.Object)) &
 @@(~7); r $t1 = @@c++(((nt!_token *) @$t0 )->UserAndGroups->Sid);!sid @$t1 1; ?
? (char *)((nt!_eprocess *) @#Process )->ImageFileName "

:\>kd -kl -c "$$>a< sid.txt;q"

结果

WARNING: Local kernel debugging requires booting with kernel
debugging support (/debug or bcdedit -debug on) to work optimally.

lkd> kd: Reading initial command '$$>a< sid.txt;q'
SID is: S-1-5-18 (Well Known Group: NT AUTHORITY\SYSTEM)
char * 0x8ac729a4
 "System"
SID is: S-1-5-18 (Well Known Group: NT AUTHORITY\SYSTEM)
char * 0x8a35729c
 "smss.exe"

SID is: S-1-5-20 (Well Known Group: NT AUTHORITY\NETWORK SERVICE)
char * 0x8a3619ac
 "svchost.exe"

SID is: S-1-5-19 (Well Known Group: NT AUTHORITY\LOCAL SERVICE)
char * 0x8a36ef14
 "svchost.exe"

SID is: S-1-5-21-602162358-1801674531-1417001333-1003 (User: XXXXXX\Admin)
char * 0x8a261b64
 "explorer.exe"

Answer 2

使用Windbg帮助文件中描述的方法调试WinLogon。 将您的用户模式应用替换为WinLogon：

Windbg | 帮助| 内容| Windows调试| 调试技术| 专门的调试技术| 调试WinLogon

IFEO将启动您的用户模式应用程序并附加ntsd.exe。 在ntsd.exe中，可以使用bu $exentry然后使用g继续在图像输入上设置一个断点。

在ntsd.exe进入用户模式进程的任何时候，您都可以发出.breakin命令以切换到内核模式调试。