WinDbg 的好教程？

Question

有没有很好的教程来展示如何使用WinDbg？

Answer 1

基本教程和使用演示

• Installing and Configuring WinDbg (Windows Debug Tools)
• Mike Taulty - A word for WinDbg
• WinDbg Tutorials
• Windows Debuggers: Part 1: A WinDbg Tutorial

“启动”/附加 WinDbg 的不同方式

• Start Debugging with WinDbg (includes how to debug an .msi)
• How to debug a Windows service
• Setting up Windows Debugging
• 调试 SQL Server...here, here, here, here

工作区（了解它们的工作方式）

• Pimp up your debugger: Creating a custom workspace for WinDbg debugging
• Uncovering How Workspaces Work in WinDbg

命令树

允许您定义调试器命令的“菜单”，以便轻松访问常用命令，而无需记住简洁的命令名称。不必将所有命令定义放入同一个 cmdtree 文本文件中……您可以将它们分开并加载多个（然后它们会获得自己的窗口）。

• Amazing helper .cmdtree
• How do I make a cmdtree window dock at startup in WinDbg
• Making it easier to debug .NET dumps in WinDbg using .cmdtree
• Microshaoft Cmdtree
• Special Command—Execute Commands from a Customized User Interface with .cmdtree

启动脚本

您可以在命令行中使用 -c 选项在启动 WinDbg 时自动运行 WinDbg 脚本。

提供了打开 DML（调试器标记语言）模式、加载特定扩展、设置 .NET 异常断点、设置内核标志（例如，在内核调试时您可能需要更改 DbgPrint 掩码以便查看跟踪信息... .ed nt!Kd_DEFAULT_Mask 0xFFFFFFFF)，加载cmdtrees等

• http://yeilho.blogspot.co.uk/2012/10/windbg-init-script.html
• Take Control of WinDbg

一个示例脚本：

$$ Include a directory to search for extensions
$$ (point to a source controlled or UNC common directory so that all developers get access)
.extpath+"c:\svn\DevTools\WinDBG\Extensions"
$$ When debugging a driver written with the Windows Driver Framework/KMDF
$$ load this extension that comes from the WinDDK.
!load C:\WinDDK\7600.16385.1\bin\x86\wdfkd.dll
!wdftmffile C:\WinDDK\7600.16385.1\tools\tracing\i386\wdf01009.tmf
$$ load some extensions
.load msec.dll
.load byakugan.dll
.load odbgext.dll
.load sosex
.load psscor4
$$ Make commands that support DML (Debugger Markup Language) use it
.prefer_dml 1
.dml_start
$$ Show NTSTATUS codes in hex by default
.enable_long_status 1
$$ Set default extension
.setdll psscor4
$$ Show all loaded extensions
.chain /D
$$ Load some command trees
.cmdtree c:\svn\DevTools\WinDBG\cmdtree\cmdtree1.txt
.cmdtree c:\svn\DevTools\WinDBG\cmdtree\cmdtree2.txt
$$ Show some help for the extensions
!wdfkd.help
!psscor4.help
.help /D

命令备忘单

• Crash Dump Analysis Poster v3.0
• SOS Cheat Sheet (.NET 2.0/3.0/3.5)
• WinDbg cheat sheet (Art of Dev)
• WinDbg Kernel-Mode Extension Commands Flashcards

扩展（扩展支持的命令/功能范围）

• AddSym
  - 允许在 IDA 和 WinDbg 之间传输符号名称
• bigLasagne (bldbgexts & blwdbgue)
  - 汇编语法高亮和驱动映射工具）
• BigLib Number Reader
• Byakugan
  - 检测反调试方法、vista 堆可视化/仿真、跟踪内存中的缓冲区
• CmdHist
  - 记录您在调试会话中执行的每个命令，以便您可以轻松地重新执行
• Core Analyzer
  - 检查堆结构是否损坏，检测线程共享的对象等。
• dom WinDbg Extension
  -（!stlpvector、!idt、!unhex、!grep 等）
• dumppe
  - 从内存中转储 PE 文件
• Image Viewer Extension (Vladimir Vukicevic)
• Intel UEFI Development Kit Debugger Tool
  - 调试 UEFI 固件
• leaktrap
  - GDI/USER 句柄跟踪器以帮助进行泄漏检测
• Mona（需要 PyKD）
  - 帮助高级分析/发现漏洞利用的命令集
• MSEC
  - 提供自动崩溃分析和安全风险评估
• narly
  - 列出有关已加载模块的信息，例如是否使用 SafeSEH、ASLR、DEP、/GS（缓冲区安全检查）
• netext (Rodney Viana)
  - (!wservice - 列出 WCF 服务对象，!wconfig - 显示 .config 行，!whttp - 列出 HttpContexts，!wselect/!wfrom - 支持类似 SQL 的数组查询)
• ODbgExt
  - 打开调试器扩展
• OllyMigrate
  - 将调试对象传递给另一个调试器而不重新启动
• Psscor2
  - SOS 的超集，用于协助调试 .NET 2.0 托管代码
• Psscor4
  - SOS 的超集，用于协助调试 .NET 4 托管代码
• PyDBGExt
  - 允许使用 Python 脚本
• PyKD
  - 允许使用 Python 编写 WinDbg 脚本
• sdbgext (Nynaeve)
  -(!valloc, !vallocrwx, !heapalloc, !heapfree, !remotecall, !remotecall64, !loaddll, !unloaddll, !close, !killthread, !adjpriv, !ret)
• SieExtPub
  -legacy 扩展...现在内置在 ext.dll 中的 WinDbg 中
• SOSEX
  - 更多帮助调试托管 NET 2.0 或 4.0 代码的命令
• SPT/SDBGExt2 (Steve Niemitz)
  -（!DumpHttpContext、!DumpASPNetRequests、!DumpSqlConnectionPools、!DumpThreadPool 等）
• Uniqstack
  - 调试器扩展的来源（需要 OSR 在线帐户才能访问它）
• viscope
  - 代码覆盖率图
• Wait Chain Traversal/wct.dll (CodePlex Debugging Extensions
  - 显示应用程序线程的等待链（帮助找到 deadlocks）
• windbgshark
  - 集成 Wireshark 协议分析器以启用 VM 流量操作和分析
• WinDbg Extensions (Sasha Goldstein)
  - Tracer, WCT, heap_stat, bkb, traverse_map, traverse_vector)
• WinDbg Highlight (ColorWindbg.dll)（使用谷歌翻译翻译链接）
  - 汇编语言语法高亮

编写你自己的扩展

• Developing WinDbg ExtEngCpp Extension in C++
• Tools of the Trade: Part IV - Developing WinDbg Extension DLLs
• The Basics of Debugger Extensions: Short Term Effort, Long Term Gain

调试托管代码

• Breaking on an Exception
• Breaking on specific CLR Exception
• Debugging .NET framework source code within WinDbg
• Debugging exceptions in managed code using WinDbg
• Debugging managed code using WinDbg and SOS.dll
• Debugging with WinDbg. Deadlocks in Applications.
• MANAGED DEBUGGING with WinDbg. Introduction and Index
• Setting .NET breakpoints in WinDbg for applications that crash on startup

脚本（C#、PS、Python 和 WinDbg）

• KDAR (Kernel Debugger Anti Rootkit)
  - WinDbg 脚本集合
• Sysnative BSOD Scripts/Processing Apps
• WinDbg Script library
  - WinDbg 脚本集合
• Scripting MDbg and DbgHostLib
  - 允许托管代码编写托管调试器 (MDBG) 和 DbgEng 脚本
• ExtCS
  - 允许通过 C# 脚本控制 WinDbg
• PowerDBG
  - 允许通过 PowerShell 脚本控制 WinDbg
• Pykd
  - 允许通过 Python 脚本控制 WinDbg
• windbglib
  - 围绕 WinDbg 的 pykd 扩展的 Python 包装库，模仿 immlib（因此您可以使用最初为 Immunity Debugger 编写的脚本）

使用 dbgeng.dll API/WinDbg 工具的调试器/工具

• A Simple Dbgeng Based User Mode Debugger
• Acorns.Debugging NET Deadlock Detector（使用 cdb.exe）(download)
• CLR Managed Debugger (MDBG)
• DbgHost - How to control a debugging engine
• Debug Diagnostic Tool v1.2 (DebugDiag), Ver 2.0 + DebugDiag Blog
• Dynamorio - 可以与 WinDbg 交互的动态二进制检测工具
• IDA + WinDbg plugin
• GUI WinDbg
• LeakShell（查找托管漏洞）
• mdbglib - Managed Debug API
• PyDbgEng
  - Windows 调试引擎的 Python 包装器
• SOSNET - 专注于使用 SOS 扩展并支持 C# 脚本的 WinDbg Fork/替代外壳
• SOSNET O2 fork - 使用 Roslyn 用于 C# REPL（读取评估打印循环）脚本引擎的 SOSNET 的分支
• VDB/Vivisect (kenshoto) - 提供基于 WinDbg 的跨平台调试 API
• WinAppDbg + Heappie-WinAppDbg
• Writing a basic Windows debugger

为事后分析生成故障转储文件的不同方法

• DebugDiag 2.0
• Dump Cheat Sheet
  - 包括如何从 Hyper-V、VMware ESX 和 XenServer 虚拟机生成转储。
• Citrix SystemDump
• Keyboard Keypress Combination
• MiniDumpWriteDump
  -（通过应用程序内的 Win32 API 调用）。 (Example for C# applications)
• NMI Switch
  （生成 NMI 的基于硬件的功能...通常在高端服务器上找到，例如 HP 或者您可以获得附加 PCI 卡 "Universal PCI Dump Switch"）。微软 NMI 技术background。
• Procdump
• Menu System ? Advanced System Settings ? Startup and Recovery
  (registry info),
  (how to configure a Complete (Full) Memory Dump),
  (how to enable Complete Memory Dump),
  (how to enable Complete Memory Dump on Windows 7 when PC has lots of memory...normally not available when more than 2 GB of memory)
• Task Manager "Create Dump File"
• UserDump, instructions（很老的工具）
• UserModeProcessDumper, instructions
• Visual Studio "Save Dump As…"
• WER (Windows Error Reporting....local dumps)
• WinDbg

转储分析工具

• BlueScreenView - 查找在 BSOD 后由 Windows 保存的 minidump .dmp 文件，并提取有关导致崩溃的原因的信息
• Debug.Analyzer（可以分析转储文件，插件可以用.NET编写）
• SAD - Simple After Dump（事后分析器）
• Volatility - 用于分析转储文件中记录的“内存”的框架 (cheat sheet)

转储相关工具

• Citrix dumpcheck - 检查转储文件的一致性（看起来它已被废弃 link + link）
• dumpchk（调试工具的一部分）- 检查转储文件的一致性
• MoonSols Windows Memory Toolkit（以前的 windd） - 将各种原始内存转储文件转换为 WinDbg 兼容的 dmp 文件
• vm2dmp - Microsoft Hyper-V VM 状态到内存转储转换器
• vmss2core - 将 VMware 快照文件转换为核心转储文件 (download), (instructions)

内核调试虚拟机

• VMKD - 虚拟机 KD 扩展
• VirtualKD - （对托管在 VMware/VirtualBox 中的操作系统的内核调试器支持）

视频

• .NET Cracking 101 #2 - WinDbg basics
• .NET Debugging for the Production Environment (Channel9)
• dotnetConf - Advanced Debugging with WinDbg and SOS
• David Truxall "Debugging with WinDbg"
• Mike Taulty Debugging Memory Leaks
• oredev 2009 Session: Debugging .NET Applications with WinDbg
• Pluralsight Advanced Windows Debugging
  （加上 Pluralsight 的各种其他人）
• Tess Ferrandez WinDbg (Channel9)
• TiGa's Video Tutorial Series on IDA Pro

博客

• Advanced .NET Debugging
• All Your Base Are Belong To Us（萨沙·戈尔茨坦）
• Analyze-v
• ASP.NET Debugging
• Cyberiafreak（线程和高级 Windows 编程和调试）
• Debug Analyzer.NET
• Debug and Beyond
• Debugging Experts Magazine Online
• Debugging Toolbox（WinDbg 脚本、调试和故障排除工具和技术，可帮助您隔离软件问题。）
• Decrypt my World
• greggm's WebLog
• Junfeng Zhang's Windows Programming Notes
• Kristoffer's tidbits
• Mark Russinovich's Blog
• Mike Stalls .NET Debugging Blog
• Naveen's Blog
• Never Doubt Thy Debugger (Carlo)
• Notes from a Dark Corner
• Ntdebugging Blog（微软全球升级服务团队）
• Nynaeve. Adventures in Windows debugging and reverse engineering
• PFE Developer Notes for the Field
• Visual Studio Debugger Team
• WinDbg by Volker von Einem

高级文章和教程资源

• Advanced Debugging Techniques in WinDbg
• Debugging Applications for MS.Net and Windows (PowerPoint Slides)
• Debugging STL Containers with WinDbg
• Debug Tutorials 1-7 (CodeProject-Toby Opferman)
• Debugging.tv
• Developmentor WinDbg Tagged articles
• Dr Fu's Security Blog - Malware Analysis Tutorials - Reverse Engineering Approach
• Exploit writing tutorial part 5 : How debugger modules & plugins can speed up basic exploit development
• Hunting Rootkits
• Remote Microsoft Windows Server OS Kernel Debugging Using Dell Windows Debugger Utility (DWDU) (DELL(TM) Windows(R) Debugger Utility 1.1 README)

替代调试器

• Bokken - (Inguma)（雷达图形用户界面）
• BugDbg
• Debug++（尚未发布）
• Debuggy
• Discoloured Ring 0 Debugger (download)
• edb (Linux)
• FDBG
• GoBug
• Hades (Ring 3 debugger with anti debugger detection strategy)
• Hopper（Linux、OS X 和 Windows）（当前未实现 Windows 调试）
• Hyperdbg
• IDA Debugger
• ImmunityDebugger
• Nanomite
• Obsidian (non-intrusive debugger)
• OllyDBG
• PEBrowse
• RaceVB6（VB6 P 代码调试器）
• radare
• radare2ui（雷达图形用户界面）
• Rasta Ring 0 Debugger (RR0D)
• Syser Kernel Debugger
• TRW 2000（大约 W9x 的非常旧的调试器）+ dions plugin archive
• VisualDux Debugger
• Wintruder（可扩展调试器）
• WKTVDebugger（Visual Basic P-Code 的调试器）(download)
• x64_dbg
• Zeta Debugger

其他链接

• Collaborative RCE Tool Library
  - 调试器和系统级工具
• cr4zyserb
  - 插件和其他调试工具
• How to Write a Windows Debugger References (Devon Straw)
  - 如果您想编写自己的调试器，您需要的详细信息，例如PDB 文件格式、.DMP 文件格式、PE 文件结构、如何记录堆栈跟踪等等。
• Tuts4You
  - 解压器、IDA、OllyDBG、Immunity Debugger 插件等