从 Linux 调试 Windows 内核答案

【问题标题】：Debugging Windows Kernel from Linux从 Linux 调试 Windows 内核
【发布时间】：2012-09-23 16:36:55
【问题描述】：

我曾经使用 VirtualKD、WinDBG 和单个虚拟机来调试 Windows 内核。

最近我有一台 Linux 机器，现在我想知道 - 当您的主机无法运行 VirtualKD/WinDBG* 时，调试 Windows 内核的最简单方法是什么？

我假设该解决方案将需要两个虚拟机，但我宁愿在我的实际机器上托管两个实例，而不是将一个实例驻留在另一个虚拟实例中...

有没有办法让它工作？

提前致谢！

*出于稳定性原因，葡萄酒是最后的选择......

【问题讨论】：

【解决方案1】：

解决了！基本上，我最终使用两个 (VirtualBox) VMs 在 Unix 域套接字上模拟 串行连接（空调制解调器电缆） （在主机上）。欲了解更多信息，请阅读以下内容：

硬件设置*：

调试对象：
- 确保机器已关闭并编辑串行端口设置。
- 启用Port 1，并赋值如下：端口号：COM1，端口模式：主机管道，创建管道：未选中（客户端），端口/文件路径：/tmp/win_link。
调试器：
- 与上面相同（使用相同的路径），只是这次 Create Pipe 应该选中（服务器）。

调试器设置：

调试对象设置：

*假设使用了 VirtualBox。 VMWare/KVM 用户可能会通过类似的步骤获得相同的结果。此外，有关更多信息，请参阅VirtualBox docs。

**假设客人是 Windows XP。以后的版本包括bcdedit，可以按照here的描述使用。

【讨论】：

【解决方案2】：

【讨论】：

【解决方案3】：

非常有用，但适用于 Windows XP 机器。如果需要在Linux主机上配置2台基于Windows7的虚拟机，可以参考以下链接：http://www.aldeid.com/wiki/Category:Digital-Forensics/Computer-Forensics/Debugger/Kernel

【讨论】：

【解决方案4】：

现在的另一个选择是启用本地内核调试。这带有一些limitations，但它可以让您在仅使用一个 VM 时访问内核数据。

此方法仅适用于 Windows 8.0 和 Windows Server 2012 及更高版本。

按照以下步骤操作：

系统重新启动后，您可以将WinDBG 执行为Administrator，按ctrl+k 或转到File -> Attach to kernel -> Local 并按OK。

此时，您将能够执行仅限内核的命令并访问内核结构：

在 Windows 10 和新的 WinDBG 版本（预览版）下测试。

【讨论】：