windbg+vmware+win7内核.docx

一. vmware 下安装：windows 7 ultimate x86 中文版

1、vmware (请使用尽可能新的版本以对tools的支持) 的设置
  打开相应 vmware 虚拟机上的 “Virtaul Machine Settings”---> “Hardware”选项中 ----> 点击 “Add” 添加一个串口设备 Seiall Port ----> “Next” ----> 在 Serial Port 里选中“Output to named pipe” ----> “next” ----> “Finish”
  最后，回到 “Virtual Machine Settings”页面时，在“I/O Mode” 里选中“Yield CPU on poll” 这样 vmware 的设置就好了。
注意看清楚：Serial Port 1还是Serial Port 2，接下来会用到。

2、windbg 的使用
创建windbg.exe所在目录的环境变量后，在桌面写个批处理，保存为vmware_win7.bat 内容如下：

  在桌面上建一个便捷方式，命令行是：

windbg -b -k com:port=//./pipe/com_1,baud=115200,pipe

  这样在开启 vmware 中的 windows 7 后运行这个便捷方式，windbg 与 guest OS “win7” 就建立成联线方式。

二、guest OS - win7 中设定

1、在 bootmgr 中下断点
  在 vista 及后续的 windows 已经取消了 ntldr 模块管理引导，转而以 bootmgr 模块管理引导系统。
  在我的 windows 7中要设定在哪个部分进行调试。
  windws 7 可调试部分有 4 个：bootmgr 模块、winload 模块、WinResume 模块以及 windows 内核模块 Nt 模块
可以在上述的 4 个模块下断点进行调式 
(1) 以管理员身份运行“命令提示符”
(2) 在“命令提示符”窗口中，输入以下命令：
bcdedit /set {bootmgr} bootdebug on 
bcdedit /set {bootmgr} debugtype serial 
bcdedit /set {bootmgr} debugport 1 
bcdedit /set {bootmgr} baudrate 115200

注意一个细节，bcdedit /set {bootmgr} debugport 1这一行最后的1 对应Serial Port 1，
所以如果是Serial Port 2 则设置为bcdedit /set {bootmgr} debugport 2 否则连不上。

bcdedit /set {bootmgr} bootdebug on 
bcdedit /set {bootmgr} debugtype serial 
bcdedit /set {bootmgr} debugport 1 
bcdedit /set {bootmgr} baudrate 115200
在提示命令成功后，这样就在 windows7 中的 bootmgr 模块建立起可调试的机制。 
在运行 windows7 时到达 bootmgr 时就停止加载，vmware 中是黑屏，它正等待 serial port 的响应， 
运行 windbg 后，windbg 就和 windws 7 中的 bootmgr 建立起联线了
下面是我的 windbg 在 bootmgr 模式下断点的响应信息：

Microsoft (R) Windows Debugger Version 6.11.0001.404 X86 
Copyright (c) Microsoft Corporation. All rights reserved.
Opened //./pipe/com_1 
Waiting to reconnect... 
BD: Boot Debugger Initialized 
Connected to Windows Boot Debugger 7600 x86 compatible target at (Mon May  9 13:25:27.631 2011 (GMT+8)), ptr64 FALSE 
Kernel Debugger connection established.  (Initial Breakpoint requested) 
Symbol search path is: SRV*c:/symbols* 
Executable search path is: 
Windows Boot Debugger Kernel Version 7600 UP Free x86 compatible 
Machine Name: 
Primary image base = 0x00400000 Loaded module list = 0x00491b80 
System Uptime: not available 
Break instruction exception - code 80000003 (first chance) 
bootmgr!RtlpBreakWithStatusInstruction: 
004436bc cc              int     3
;=========================

Primary image base = 0x00400000 Loaded module list = 0x00491b80
  bootmgr 被加载到基地址是 0x00400000
bootmgr!RtlpBreakWithStatusInstruction:
  目前处在 bootmgr 模块中

查看：
kd> x bootmgr!* 
00430724 bootmgr!TpmApiAuthSessCreateOSAP =  
0045dc5c bootmgr!CmpGetIndexElementSize =  
004689a4 bootmgr!RcConsoleBaudRates =  
004356cd bootmgr!OsxmlBrowser::~OsxmlBrowser =  
00437683 bootmgr!XslStylesheet::getContents =  
0040d032 bootmgr!BlockIoPcatConventionalInt13 = tion> 
00420202 bootmgr!BlLogData =  
0041cda5 bootmgr!NetClose =  
0043bf31 bootmgr!XslTemplate::getContents =  
0042ab94 bootmgr!MmTrSelectPageTableMappingAddress =  
0041796b bootmgr!FileIoOpen = ormation> 
......

2、在 winload 模块下断点 

同样在“命令提示符”中使用命令
bcdedit /enum
这条命令显示当前可用模块的 GUID

Microsoft Windows [版本 6.1.7600] 
版权所有 (c) 2009 Microsoft Corporation。保留所有权利。
C:/Windows/system32>bcdedit /enum
Windows 启动管理器 
-------------------- 
标识符                  {bootmgr} 
device                  partition=C: 
description             Windows Boot Manager 
locale                  zh-CN 
inherit                 {globalsettings} 
debugtype               Serial 
debugport               2 
baudrate                115200 
bootdebug               Yes 
default                 {current} 
resumeobject            {8bf63dd6-79ea-11e0-9d42-db726cb22836} 
displayorder            {current} 
toolsdisplayorder       {memdiag} 
timeout                 30
Windows 启动加载器 
------------------- 
标识符                  {current} 
device                  partition=C: 
path                    /Windows/system32/winload.exe 
description             Windows 7 
locale                  zh-CN 
inherit                 {bootloadersettings} 
recoverysequence        {8bf63dd8-79ea-11e0-9d42-db726cb22836} 
recoveryenabled         Yes 
osdevice                partition=C: 
systemroot              /Windows 
resumeobject            {8bf63dd6-79ea-11e0-9d42-db726cb22836} 
nx                      OptIn
3、在内核模块 Nt 模块下断点 

  打开 windws 7 的“控制面板”----> “管理工具” ---> “系统配置” ---> 打开“引导”页面 ---> 点击“高级选项” 

  ----> 在高级启动选项里，选中“调试” ----> 点击“确定”就行了。
注意端口的选择同上。com1或com2对应。 

  这样就在 nt 模块下了断点

Microsoft (R) Windows Debugger Version 6.11.0001.404 X86 
Copyright (c) Microsoft Corporation. All rights reserved.
Opened //./pipe/com_1 
Waiting to reconnect... 
Connected to Windows 7 7600 x86 compatible target at (Mon May  9 14:37:37.001 2011 (GMT+8)), ptr64 FALSE 
Kernel Debugger connection established.  (Initial Breakpoint requested) 
Symbol search path is: SRV*c:/symbols* 
Executable search path is: 
Windows 7 Kernel Version 7600 MP (1 procs) Free x86 compatible 
Product: WinNt, suite: TerminalServer SingleUserTS 
Built by: 7600.16385.x86fre.win7_rtm.090713-1255 
Machine Name: 
Kernel base = 0x83c47000 PsLoadedModuleList = 0x83d8f810 
Debug session time: Mon May  9 14:37:32.656 2011 (GMT+8) 
System Uptime: 0 days 0:00:04.828 
Break instruction exception - code 80000003 (first chance) 
**************************************************************************** 
*                                                                             * 
*   You are seeing this message because you pressed either                    * 
*       CTRL+C (if you run kd.exe) or,                                        * 
*       CTRL+BREAK (if you run WinDBG),                                       * 
*   on your debugger machine's keyboard.                                      * 
*                                                                             * 
*                   THIS IS NOT A BUG OR A SYSTEM CRASH                       * 
*                                                                             * 
* If you did not intend to break into the debugger, press the "g" key, then   * 
* press the "Enter" key now.  This message might immediately reappear.  If it * 
* does, press "g" and "Enter" again.                                          * 
*                                                                             * 
******************************************************************************* 
nt!RtlpBreakWithStatusInstruction: 
83cb2394 cc              int     3 
kd> g 
Break instruction exception - code 80000003 (first chance) 
******************************************************************************* 
*                                                                             * 
*   You are seeing this message because you pressed either                    * 
*       CTRL+C (if you run kd.exe) or,                                        * 
*       CTRL+BREAK (if you run WinDBG),                                       * 
*   on your debugger machine's keyboard.                                      * 
*                                                                             * 
*                   THIS IS NOT A BUG OR A SYSTEM CRASH                       * 
*                                                                             * 
* If you did not intend to break into the debugger, press the "g" key, then   * 
* press the "Enter" key now.  This message might immediately reappear.  If it * 
* does, press "g" and "Enter" again.                                          * 
*                                                                             * 
******************************************************************************* 
nt!RtlpBreakWithStatusInstruction: 
83cb2394 cc              int     3 
kd> g 
KDTARGET: Refreshing KD connection 
三、 windbg 加载符号 

  在 windbg 的 "File" ---> "Symbol File path" ---> 设定为： SRV*d:/symbols* 

  回到 windbg 命令行，使用命令 .reload 命令，可以自动加载符号

相关命令：
C:/Users>bcdedit /?
BCDEDIT - 启动配置数据存储编辑器
Bcdedit.exe 命令行工具用于修改启动配置数据存储。 
启动配置数据存储包含启动配置参数并控制操作系统的启动方式。这些参数以前位于 
Boot.ini 文件中(在基于 BIOS 的操作系统中)或位于稳定 RAM 项中(在基于可扩展 
固件接口的操作系统中)。可以使用 Bcdedit.exe 在启动配置数据存储中添加、删除、 
编辑和附加项。
有关命令和选项的详细信息，请键入 bcdedit.exe /? 。 
例如，若要显示有关 /createstore 命令的详细信息，请键入:
     bcdedit.exe /? /createstore
有关本帮助文件中按字母顺序排列的主题列表，请运行 "bcdedit /? TOPICS"。
对存储执行的命令 
================================ 
/createstore    新建空的启动配置数据存储。 
/export         将系统存储的内容导出到文件。以后可以使用该文件还原系统 
                存储的状态。 
/import         使用 /export 命令创建的备份文件来还原系统存储的状态。
/sysstore       设置系统存储设备(仅影响 EFI 系统，在重新启动后不再有效， 
                且仅用于系统存储设备不确定的情况下)。
对存储中的项执行的命令 
=========================================== 
/copy           复制存储中的项。 
/create         在存储中新建项。 
/delete         删除存储中的项。 
/mirror         创建存储中项的镜像。
运行 bcdedit /? ID 可获得有关这些命令使用的标识符的信息。
对项选项执行的命令 
====================================== 
/deletevalue    删除存储中的项选项。 
/set            设置存储中的项选项值。
运行 bcdedit /? TYPES 可获得这些命令使用的数据类型的列表。 
运行 bcdedit /? FORMATS 可获得有效数据格式的列表。
控制输出的命令 
============================ 
/enum           列出存储中的项。 
/v              命令行选项，完整显示项标识符，而不是使用已知标识符的名称。
                单独使用命令 /v 可完整显示活动类型的项标识符。
单独运行 "bcdedit" 等同于运行 "bcdedit /enum ACTIVE"。
控制启动管理器的命令 
====================================== 
/bootsequence   为启动管理器设置一次性启动序列。 
/default        设置启动管理器将使用的默认项。 
/displayorder   设置启动管理器显示多重引导菜单的顺序。 
/timeout        设置启动管理器的超时值。 
/toolsdisplayorder  设置启动管理器显示工具菜单的顺序。
控制启动应用程序紧急管理服务的命令 
=============================================== 
/bootems        启用或禁用启动应用程序的紧急管理服务。 
/ems            启用或禁用操作系统项的紧急管理服务。 
/emssettings    设置全局紧急管理服务参数。
控制调试的命令 
============================== 
/bootdebug      启用或禁用启动应用程序的启动调试。 
/dbgsettings    设置全局调试程序参数。 
/debug          启用或禁用操作系统项的内核调试。 
/hypervisorsettings  设置虚拟机监控程序的参数。

C:/Users>bcdedit /set /?
此命令设置引导配置数据存储中的项选项值。
bcdedit [/store ] /set [{}] [ /addfirst | /addlast | /remove ]
      指定要使用的存储。如果未指定此选项，则使用系统存储。 
                有关详细信息，请运行 "bcdedit /? store"。
            指定要修改的项的标识符。如果未指定，则使用 {current}。 
                有关标识符的详细信息，请运行 "bcdedit /? ID"。
      指定将创建或修改的选项数据类型。 
                有关数据类型的详细信息，请运行 "bcdedit /? TYPES"。
         指定应分配给该选项的值。 的格式取决于指定的数据类型。 
                有关数据格式的详细信息，请运行 "bcdedit /? FORMATS"。
  /addfirst     仅当数据类型是对象列表时才能使用此开关。 
                将指定的项标识符添加到列表的顶部。 
                如果已指定此开关，则只能指定一个项标识符。 
                如果所指定的标识符已在列表中，请将它移到列表顶部。
    /addlast    仅当数据类型是对象列表时才能使用此开关。 
                将指定的项标识符添加到列表的结尾。 
                如果已指定此开关，则只能指定一个项标识符。 
                如果所指定的标识符已在列表中，它将被移到列表结尾。
    /remove     仅当数据类型是对象列表时才能使用此开关。 
                请从列表中删除指定的项标识符。 
                如果已指定此开关，则只能指定一个项标识符。 
                如果此标识符不在列表中，则操作无效。 
                如果正在删除最后一项，则此数据类型值也将被删除。
示例:
对于指定的操作系统项，下列命令将应用程序设备设置到 C: 分区:
    注意: 使用 "hd_partiton=" 语法显式禁用自动 VHD 检测，并 
          创建与启动虚拟机兼容的项目，例如，
    bcdedit /store Foocd /set {default} device hd_partition=F:
对于指定的操作系统项，下列命令将操作系统设备设置到 VHD 文件(C:/vdisks/vdisk01.vhd)
    bcdedit /set {cbd971bf-b7b8-4885-951a-fa03044f5d71} osdevice vhd=[C:]/vdisks/disk01.vhd
对于指定的操作系统项，下列命令将应用程序路径设置到 /windows/system32/winload.exe 
:
    bcdedit /set {cbd971bf-b7b8-4885-951a-fa03044f5d71} path /windows/system32/winload.exe
对于当前的操作系统启动项，下列命令将 NX 策略设置到 OptIn。
    bcdedit /set nx optin 

C:/Users>bcdedit  /? ID
标识符
很多 Bcdedit 命令需要标识符。标识符可以唯一标识存储中包含的项。标识符采取 
全局唯一标识符的形式，或称为 GUID。GUID 具有以下格式，其中每个“x”代表 
一个十六进制数。
    {xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx}
例如:
    {d2b69192-8f14-11da-a31f-ea816ab185e9}
破折号(-)的放置以及 GUID 开头和结尾的括号是必需的。
已知标识符可以标识多个项。如果某个项具有已知标识符，则 BCDedit 将其显示 
在输出中，除非使用了 /v 命令行开关。 
有关详细信息，请运行 "bcdedit /? /v"。
已知标识符如下所示:
    {bootmgr}               指定 Windows 启动管理器项。
    {fwbootmgr}             指定固件启动管理器项，特别是在实现可扩展固件
                            接口(EFI)规格的系统上。
    {memdiag}               指定内存诊断应用程序项。
    {ntldr}                 指定可用于启动早于 Windows Vista 版本的操作 
                            系统的 OS 加载程序(Ntldr)。

    {current}               指定与当前运行的操作系统的操作系统启动项
                            对应的虚拟标识符。
    {default}               指定与启动管理器默认应用程序项对应的虚拟 
                            标识符。
    {ramdiskoptions}        包含启动管理器所需的其他的 RAM 磁盘设备 
                            选项。
    {dbgsettings}           包含可由任意启动应用程序项继承的全局调试 
                            程序设置。
    {emssettings}           包含可由任意启动应用程序项继承的全局紧急 
                            管理服务设置
{badmemory}             包含可由任意启动应用程序项继承的全局 RAM 
                            故障列表。

    {globalsettings}        包含所有启动应用程序项应继承的全局设置的 
                            集合。
    {bootloadersettings}    包含所有 Windows 启动加载程序应用程序项 
                            应继承的全局设置的集合。
    {resumeloadersettings}  包含所有 Windows 从休眠状态恢复应用程序项 
                            应继承的全局设置的集合。
    {hypervisorsettings}    包含可由任意 OS 加载程序项继承的虚拟机 
                            监控程序设置。 

参考：

引导分析：

本文章由51知识库整理共享：