如何查看GDTR的价值？

Question

在“Rootkit Arsenal”一书第 84 页（第 3 章）中提到：

...，我们可以查看其中的内容 目标机器的描述符寄存器 使用带有 0x100 掩码的命令： kd> rm 0x100

以及下面的一段：

注意，同样的任务可以 通过指定 GDTR 来完成 显式组件：kd> r gdtr ....

我在我的 Win XP（在 VMWare 内）上运行 Windbg 并选择 Kernel Debug -> Local。 我的问题是在第一个命令的情况下，windbg 错误：

lkd> rM 0x100 ^ 当前调试会话 'rM 0x100' 不支持操作

在第二个命令中：

lkd> r gdtr ^ 'r gdtr' 中的错误寄存器错误

谁能指导我？

Answer 1

是的，您不能在本地内核调试会话中查看寄存器。 LiveKD 工作，您也可以通过 PCR (!pcr) 间接获取地址。

-斯科特

Answer 2

我想我已经找到了解决方案： 使用两台计算机进行内核调试，而不是本地内核调试。 （我使用 VMWare 并通过 COM 端口/命名管道进行调试） 我在想，如果这个设施/功能（本地内核调试）不完整，为什么还会存在？