[Windows Rootkits学习]win10 or 11 中“windbg+vmware+win7双机调试”设置

N1nEmAn

计划内：双机调试搭建

0x00 目的

搭建windows内核调试环境：基于windbg+vmware搭建双机调试环境，windbg安装在物理windows操作系统上，vmware内安装win7-32位操作系统，如果windbg可以对vmware内的虚拟机进行断点控制，则认定为环境搭建成功。

0x01 资源

哈哈，自己想办法吧~

0x02 参考文章

由于已经有人写过文章，我就不做无意义的重复性工作，大家可以直接参考以下文章进行操作，我只提一些注意事项。

https://blog.csdn.net/sagittarius_warrior/article/details/51305046?spm=a2c6h.12873639.article-detail.4.6f875e166Y0YfL

0x03 注意事项

延时问题

为了防止还没打开debug就开机了，我们建议输入一个命令：

bcdedit /timeout 15

不过我自己写的是10，不够再加，把15换成别的数就行。

快捷方式问题

在设置快捷方式的时候，会遇到两个问题。

a.目标内

首先注意，我们是在快捷方式里的目标进行修改，修改后是这样的："D:\Windows Kits\10\Debuggers\x86\windbg.exe" -b -k com:pipe,port=\\.\pipe\com_1,resets=0

注意-b -k这种是一个命令，用来连接刚才设置的端口，所以他要写在文件引号的后面。即原本是"……/windbg.exe"，要把 -b -k com:pipe,port=\\.\pipe\com_1,resets=0加在其后面。

b.无效？

我们在设置的时候可能会弹出提示我们写的东西无效。这是因为没有打开虚拟机，所以端口还没有被打开。我们要关机，然后开机的时候选择带有[启用调试程序]的选项。

开机时选择这个选项，打开端口
然后再修改快捷方式，就可以完成了。接着只是需要在这个开机的过程中打开，输入g就可以开始下断点进行调试。

其他问题？

快捷方式的问题让我挠头许久，希望我的分享可以方便到大家。如果有其他问题，请在评论里写出来，我将给予及时回复。如有不对的地方欢迎指出，谢谢参考我的文章！

N1nEmAn

补充："D:\Windows Kits\10\Debuggers\x86\windbg.exe" -b -k com:pipe,port=\\.\pipe\com_1,resets=0
>这个命令中的"-b"选项表示Windbg将以批处理模式运行，也就是不会显示交互式命令行提示符，直接执行命令并退出。

>而"-k com:pipe,port=\.\pipe\com_1,resets=0"则是Windbg的调试器引擎选项，表示连接到一个名为"\.\pipe\com_1"的本地命名管道，并使用COM端口协议进行通信。"resets=0"选项表示Windbg不应该在连接时重新设置目标计算机。

>综上所述，该命令的含义是：以批处理模式运行Windbg，并连接到名为"\.\pipe\com_1"的本地命名管道，使用COM端口协议进行调试通信。

ruanrongwei

感谢高手的奉献

hzrzya

感谢分享

huanguici

感谢分享。

gangligegang

感谢分享，学习了

timeofwcx

请问这个是什么原因呢，显示的全是问号

N1nEmAn

timeofwcx 发表于 2023-8-2 11:19
请问这个是什么原因呢，显示的全是问号

可能没读取出来

冥界3大法王

timeofwcx 发表于 2023-8-2 11:19
请问这个是什么原因呢，显示的全是问号

@timeofwcx
2023年了，谁还用这个版本？

X:\WinDbg Preview1.1910.3003.0\DbgX.Shell.exe 这个多好啊，商店里就有新的。

阳光般丶楠神

人间自有大牛，感谢大牛的分享~！