Windows调试工具入门-3-WinDbg内核调试配置

  内核调试主要用来调试驱动代码、分析内核结构等。 WinDbg通过两台电脑可以实现内核调试，其中一台电脑运

行WinDbg，被称为主机；另外一台电脑运行被调试的程序或系统，被称为目标机。一般情况下两台电脑都是真实机

器，这样调试最符合实际情况，两台电脑通过串口线、 1394线或USB对联线连接起来实现双机内核调试。如果没 有

两台电脑，也可以用虚拟机来模拟目标机，主机上运行WinDbg ，虚拟机中安装Windows运行被调试的程序，虚拟

机通过模拟的串口输出为主机上的一个命名管道，从而和主机上的WinDbg连接起来实现双机 内核调试。

    除双机内核调试外， WindowsXP后还引入了一种本机内核调试方式，只需要一台电脑，直接运行WinDbg就 能

查看修改系统内核结构等，不过所有和中断目标机系统相关的命令都不能执行，如断点命令。

     如果采用虚拟机模拟目标机，调试响应速度有时候是个问题，比1394线连接的真实双机调试速度要慢不少，特

别是执行操作大量内存的命令时（如搜索内存命令），感觉非常明星。所以针对这种情况还会介绍一个特殊的辅助调 试

工具vmkd ，该工具可以大大加速内核调试的速度，为咱们带来不少方便。

    下面分节详细介绍各种内核调试情景下的配置，尽量每个步骤都截图说明。
真实机双机内核调试
    真实机之间的内核调试首先需要准备连接线，可以用串口线、 1394线或者USB对联线。

    串口线速度太慢，而且电脑城一般买不到可以直接使用的串口线，需要把线和接头买回来自己焊，按照WinDbg

帮助中的说明交叉焊接，就能得到一根可用来调试的串口线。用串口线把两台电脑连接上后，先用Windows自带的

超级终端工具，选择好串口和波特率连接。如果在超级终端中按键能在另外一台电脑的超级终端上显示按键，则表示

串口线连接成功。接下来就可以用WinDbg连接串口调试。某些笔记本上可能没有串口，可以买一个USB转串口的

接头，然后设置USB转换后的串口号，就能把这台笔记本当作主机使用。

   1394线速度快，价格也便宜，如果电脑上没有1394口，可以再另外买一个1394卡，价格也很便宜。 1394分

大口和小口，只需按照电脑上的接口大小购买合适的线就行。如果没有1394口，装一个1394卡又很麻烦，则也可

以买一个USB转1394口的接头，不过一样只能当作主机使用。

   USB对联线是Vista系统以后支持的内核调试连接方式，没见到哪里能买到这样的线，估计速度会更快一点吧！

   因为1394线连接调试最方便，速度也比较快，所以建议使用这种方式。

    电脑、连接线等准备好后，先设置目标机系统，启用内嵌在系统中的内核调试引擎。 Vista之前的系统，用记事 本

打开系统盘根目录下的boot.ini文件，添加新的启动项，在新的启动项上添加调试选项。如下表，红色行表示新加的

启动项， /debug表示打开内核调试引擎， /debugport=1394表示采用1394连接方式， /channel=10表示设置 通

道号为10。

[csharp] view
plain copy

[bootloader]  

timeout=30  

default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS  

[operatingsystems]  

multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="MicrosoftWindowsXPProfessional"  

/noexecute=optin/fastdetect  

multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="WINXP-Debug"/noexecute=optin/debug  

/debugport=1394/channel=10  

   Vista之后的系统需要修改BCD数据库，利用bcdedit工具添加启动项，设置调试选项。如下表，以管理员方 式
运行命令行程序，先复制当前项生成新的启动项，然后在新的启动项上操作，打开内核调试、设置调试连接方式、设

置1394通道号。

[csharp] view
plain copy

C:\>bcdedit/copy{default}/d"Vista-RemoteDebug"  

已将该项成功复制到{13fbbedc-756a-11dc-aed8-0016e68bceb3} 。  

C:\>bcdedit/set{13fbbedc-756a-11dc-aed8-0016e68bceb3}debugtype1394  

操作成功完成。  

C:\>bcdedit/set{13fbbedc-756a-11dc-aed8-0016e68bceb3}channel10  

操作成功完成。  

C:\>bcdedit/debug{13fbbedc-756a-11dc-aed8-0016e68bceb3}on  

操作成功完成  

     设置完目标系统后重启，在选择启动菜单时停下来，在主机上通过如下命令行运行WinDbg准备连接到目标机

[csharp] view
plain copy

D:\WinDbg>windbg-d-k1394:channel=10  

-d表示在连接上目标系统后马上中断下来，这个也是最早的断点，该选项主要是为了在目标系统初始化早期就断下 来

查看系统状态，当前情况下可以不要，1394:channel=10表示连接方式和通道号。第一次采用1394内核调试时，

WinDbg可能会显示启动驱动失败，再次运行WinDbg应该就好了。运行WinDbg后，显示如下界面：



表示WinDbg已经准备好，正在等待1394连接。然后返回目标机，选择前面添加的启动项（也就是打开了内核调 试

选项的启动项），如下图，真实机器无法截图，这里用虚拟机截图代替。



选择该启动项后，系统就会加载内核，初始化内核调试引擎，不一会（几秒钟）就能在主机的WinDbg上看到输出信

息，接着中断在WinDbg中，如下图（写这篇文章时还是用的虚拟机截图，呵呵）：



可以看到WinDbg显示已经连接到WindowsXP系统上，并显示了符号路径、内核基址等信息，然后中断下来得到 控

制权，输入k命令可以看到当前调用栈，输入g命令让目标系统继续启动。开始调试后，在WinDbg中可以随时按

Ctrl+Break组合键或通过工具栏

按钮中断目标系统。

    如果前面运行WinDbg时不习惯命令行方式，也可以先打开WinDbg ，然后选择菜单File/KernelDebug打开

内核调试连接对话框，切换到第二个 “ 1394” 选项卡，在channel下面的编辑框中输入通道号10，点击 “ 确定 ” 按

钮开始连接目标机。



这样和前面命令行运行WinDbg的效果一样，就是没了 -d选项，可以在等待连接的界面上按两次Ctrl+Alt+k组合 键

达到相同的效果



      真实机采用1394调试时，如果目标机系统是Windows2003 （未安装ServicePack ）或者WindowsXPSP 1，

则连接调试前，需要先在目标机上的 “ 设备管理器” 中禁用1394控制器。如果目标机上是Vista、 Windows2003SP1

或者WindowsXPSP2等系统之后的系统，则不要禁用1394控制器。另外，如果主机是Vista之前的系统，用1 394

调试时连接有问题，则可以尝试在主机的 “ 设备管理器” 中禁用1394网络适配器。
虚拟机双机内核调试
     真实机毕竟硬件成本高，需要两台电脑，还得买连接线。如果调试要求不高，很多情况下可以用虚拟机模拟目标

机，实现双机内核调试。当前常用的虚拟机有两种： VMWare和VirtualPC ，都提供了免费版本，运行速度相当于主

机的一半左右。估计现在大家都是双核的电脑，运行虚拟机还是没问题的。 VMWare似乎速度要快一点点，而且提 供

的快照功能非常方便，可以随时把系统还原到以前保存的状态。 VirtualPC似乎兼容性要好一点，有时候在VMWare

上安装系统蓝屏，用VirtualPC就没问题。

    首先也是选择连接方式，用虚拟机只有一种串口方式，通过虚拟机模拟的串口输出到主机上的命名管道，然后

WinDbg连接这个命名管道，从而实现主机和虚拟机的连接。

   在虚拟机中安装好系统后，关闭虚拟机系统，打开虚拟机系统的设置框， VMWare中如下图：



选择Editvirtualmachinesettings ，打开设置对话框：



首先选择Add... 按钮添加Serial设备，然后按照上图设置Serial属性。命名管道名称为WinDbg连接时需要用到的

管道名， \\.\pipe\前缀不可少，后面接一个容易理解的名称即可。

VirtualPC虚拟机也差不多，先安装好系统，选择系统，点击Settings按钮：



打开虚拟机系统设置对话框，选择左边的COM1项，在右边设置输出的命名管道名称。



     设置好硬件连接方式后（这里是虚拟硬件），启动虚拟机中的系统，添加调试启动项。因为虚拟机只是虚拟了串 口，

所以设置系统启动项时只能使用串口方式。 Vista之前的系统通过修改boot.ini文件实现，如下表。红色项表示新添

加的启动项， /debug表示打开内核调试引擎， /debugport=com1表示采用串口1通信， /baudrate=115200设

置串口1的波特率为115200 。

[csharp] view
plain copy

[bootloader]  

timeout=30  

default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS  

[operatingsystems]  

multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="MicrosoftWindowsXPProfessional"  

/noexecute=optin/fastdetect  

multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="WINXP-Debug"/noexecute=optin/debug  

/debugport=com1/baudrate=115200  

Vista之后的系统，以管理员权限打开命令行窗口，通过bcdedit工具修改BCD数据添加启动项。

[csharp] view
plain copy

C:\>bcdedit/copy{default}/d"Vista-RemoteDebug-1394"  

已将该项成功复制到{13fbbedc-756a-11dc-aed8-0016e68bceb3} 。  

C:\>bcdedit/set{13fbbedc-756a-11dc-aed8-0016e68bceb3}debugtypeSERIALDEBUGPORT:1  

BAUDRATE:115200  

操作成功完成。  

C:\>bcdedit/debug{13fbbedc-756a-11dc-aed8-0016e68bceb3}on  

操作成功完成  

设置好启动项后，重启虚拟机中的系统，在选择启动菜单项时停下来，返回主机，通过命令行启动WinDbg。

[csharp] view
plain copy

D:\WinDbg>windbg-d-kcom:pipe,port= \\.\pipe\vmdbg_winxpen,baud=115200  

 
注意红色字表示的管道名称，需要和虚拟机中的设置一样。这里照样可以通过菜单打开内核调试连接对话框来操作。



注意管道名称要一致，选中Pipe项，然后确定，WinDbg则会开始等待连接。



此时返回虚拟机中选择调试启动项，一会就能看到WinDbg中显示连接上虚拟机的信息



     建立连接后，就和调试真实机一样，操作也一样。只有当调试某些和特殊硬件相关的驱动，或者调试和3D游戏
相关的程序时，还是得用到真实机。另外，运行虚拟机毕竟影响主机速度，特别是读取硬盘时感觉比较明显。而且当

WinDbg中断下目标系统后，虚拟机基本上就把CPU给占满了，双核时还好，单核时搞的主机都没办法动。当然调试

速度也是个问题，照理说都是一台电脑（虚拟机也还是运行在主机上），传输速度应该很快。但因为串口是完全模拟 的，

串口设计决定了速度不可能快，所以下面介绍一个用于虚拟机调试时的加速工具： vmkd 。
 
              Vmkd是内核调试高手Skywing推出的一个工具，主要用于加快VMWare内核调试的速度，官方网站在：
http://www.nynaeve.net/?page_id=168 。 vmkd相当于接管了内核调试引擎传输通道，以前是：虚拟机系统内

核 <->模拟串口 <->命名管道 <->WinDbg，使用vmkd后变成：虚拟机系统内核<->vmkd内核模块kdvmware <->vmkd注入模块vmxpatch<->新的命名管道 <->WinDbg，因为不走虚拟机的模拟串口传输数据，而是虚拟机端

的kdvmware和主机端的vmxpath直接复制内存，所以传输速度大大加快。
 
详细使用步骤如下：

1.在虚拟机中安装好系统，并按照前一节所述设置好串口调试。

2.把vmkd带的kdvmware.sys复制到虚拟机中C:\WINDOWS\system32\drivers目录下，在虚拟机中使

用 命 令 行sccreatekdvmwarestart=demandtype=kernelbinPath=

c:\windows\system32\drivers\kdvmware.sysDisplayName=kdvmware安装驱动。



 
3.重新启动虚拟机中的系统，选择调试启动项进系统。

4.在主机上找到启动虚拟机的vmware-vmx.exe进程的pid ，利用vmxinject.exepid命令把vmxpatch. dll

注入到vmware-vmx.exe进程

[csharp] view
plain copy

D:\DbgTools\vmkd>tlist-mvmware-vmx.exe  

D:\ProgramFiles\VMware\VMwareServer\bin\vmware-vmx.exe-6096vmware-vmx.exe  

OleMainThreadWndName  

D:\DbgTools\vmkd>vmxinject6096  

OK  

5.在虚拟机中通过netstartkdvmware命令启动驱动。



6.在主机上启动WinDbg连接虚拟机中的系统开始调试，命名管道名称中的winxpen是虚拟机系统的安装文

件夹（比如： d:\VMs\winxpen ）。

[csharp] view
plain copy

windbg-kcom:pipe,port=\\.\pipe\kdvmware_winxpen,baud=115200  

命名管道名称如果不确定，可用WinObjEx工具查看系统中的所有命名管道名，如下图，最下面的就是vm kd

使用的管道名。



连接后如下图：



此时再调试会发现单步速度非常快，运行一下搜索命令s就能感觉出来，甚至.dump命令也很快能执行完。
本机内核调试
     本机内核调试是WindowsXP之后的系统引入的一种内核调试方式，说调试其实有点不准确，因为没有单步、 断

点等调试必备的功能，只能读写内存。不过用来查看系统内核信息时还是非常方便的，不需要两台电脑（连虚拟机也

不需要，完全在本机运行），能够利用大部分WinDbg自带的扩展命令，在XP以后的系统上都能使用，包括32/64

系统。
      在Windows2003SP1之前的系统上，系统通过ntdll!ZwSystemDebugControl函数提供本机内核调试支 持。

之后的系统通过WinDbg自带的kldbgdrv.sys驱动调用nt!KdSystemDebugControl函数提供本机内核调试支持 。

官方文档建议在启动项中添加 /Debug选项启动系统，然后使用本机内核调试功能。但一般情况下不需要这么做， Vista

之前的系统上，可以直接运行WinDbg打开本机内核调试；Vista及之后的32位系统，可以利用笔者写的一个小工

具VistaLKD开启本机内核调试功能，再运行WinDbg打开本机内核调试；Vista及之后的64位系统暂时只能修改

启动项添加 /Debug选项来开启本机内核调试功能。

     启动本机内核调试非常简单，加上 -kl命令行启动WinDbg即可

[csharp] view
plain copy

D:\WinDbg>windbg-kl  

显示界面如下：



也可以运行WinDbg后打开内核调试连接对话框，选择Local选项页，点击 “ 确定 ” 按钮打开本机内核调试功能



    Vista及以后的系统，记得先以管理员权限运行VistaLKD工具，点击Enablelocalkerneldebug按钮开启本

机内核调试功能，然后再以管理员权限运行WinDbg打开本机内核调试。



 
本机内核调试下可以做很多事情，比如查看内核结构定义、反汇编内核函数、显示内核Hook等。