MacOs/Liunx主机搭建windows平台双机调试环境

0x00 前言

本文的主要试用对象是Mac OS/Linux用户，对于想调试windows内核相关的一些东西时，需要搭建双机调试环境的一些记录。另外对于本机是windows的用户也完全试用，windows搭建双机环境是会更简单一些，但是基本是一样的。

0x01 测试环境

• VMware 15
• windows 7 x86 –> 调试机
• windows xp –> 被调试机1
• windws 7 x86 –> 被调试机2
• Ubuntu 18.04 –> 物理机
• windbg –> 调试器

0x02 环境搭建

环境搭建的核心主要在虚拟机的设置上，这块设置好了，后面就会比较顺利。

1.虚拟机的配置

虚拟机的安装在这里就不在叙述，安装好虚拟机以后，我们打开virtual machine settings–>Add–>serial port–>finish,如下图所示

随后我们选择Use socket(named pipe)选项，这里需要输入一个文件的位置来做socket连接的转储，相当于调试信息转存的中转站，这里只需要指定就可以，稍后会自动在所设置目录自动创建文件，我这里是com1文件，这里需要特别说明一下，在设置虚拟机的串行端口指定com1还是com2这取决于serial port的端口号是几，默认情况下虚拟机添加了打印机 print，所以此处默认端口为2，我在测试时使用com2没成功，删除了虚拟机的打印机后，使用的com1端口可以成功。这台虚拟机是xp，是作为被调试机用的，所以我们选择server，接着勾选I/O Mode，使此虚拟机支持cpu中断，如下图所示

接着设置调试机，基本和上面的设置一样，区别是，这次是选择client，不勾选I/O Mode选项，如下图所示

Ok,到这里虚拟机的设置就完成了，接下来是被调试机的设置，我们打开被调试机

2.被调试机的设置

这里先拿xp来说一下，windows7及以上的系统设置和xp略有不同，稍后会叙述．打开被调试机，win+R键入c:\boot.ini打开系统启动配置.然后添加一行配置，如下

[boot loader]
timeout=30
default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS
[operating systems]
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professional" /noexecute=optin /fastdetect
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professional debug" /debug /debugport=com1 /baudrate=115200 /fastdetect

这里的debugport需要和刚才设置的文件的名字一样，这里也是指定我们选中的串行接口。baudrate默认为115200，然后ctrl+s保存，再次重启就会多出一个支持调试的启动选项．如图

Windows Vista之后的系统，不在使用BOOT.INI文件，改为了使用Coot Configuration Data，其配置的原理也大同小异，下面以windows 7为例子，做一个示范

C:\Windows\system32>bcdedit.exe /copy {current} /d "windows 7 Debug with Serial"      #复制当前的启动入口

已将该项成功复制到 {2bd58bb9-12d9-11eb-b328-b016eb5db92e}。

C:\Windows\system32>bcdedit.exe /debug {2bd58bb9-12d9-11eb-b328-b016eb5db92e} on      #启动入口启动内核调试

操作成功完成。

C:\Windows\system32>bcdedit /dbgsettings serial DEBUGPORT:1 BAUDRATE:115200      #serial表示使用串口，对应上面xp的com1
操作成功完成。

C:\Windows\system32>bcdedit /dbgsettings      #检查上述的设置
debugtype               Serial
debugport               1
baudrate                115200
操作成功完成。

C:\Windows\system32>bcdedit      #查看Windoes的启动入口

Windows 启动管理器
--------------------
标识符                  {bootmgr}
device                  partition=C:
description             Windows Boot Manager
locale                  zh-CN
inherit                 {globalsettings}
default                 {current}
resumeobject            {2bd58bb5-12d9-11eb-b328-b016eb5db92e}
displayorder            {current}
                        {2bd58bb9-12d9-11eb-b328-b016eb5db92e}
toolsdisplayorder       {memdiag}
timeout                 30

Windows 启动加载器
-------------------
标识符                  {current}
device                  partition=C:
path                    \Windows\system32\winload.exe
description             Windows 7
locale                  zh-CN
inherit                 {bootloadersettings}
recoverysequence        {2bd58bb7-12d9-11eb-b328-b016eb5db92e}
recoveryenabled         Yes
osdevice                partition=C:
systemroot              \Windows
resumeobject            {2bd58bb5-12d9-11eb-b328-b016eb5db92e}
nx                      OptIn

Windows 启动加载器
-------------------
标识符                  {2bd58bb9-12d9-11eb-b328-b016eb5db92e}
device                  partition=C:
path                    \Windows\system32\winload.exe
description             windows 7 Debug with Serial
locale                  zh-CN
inherit                 {bootloadersettings}
recoverysequence        {2bd58bb7-12d9-11eb-b328-b016eb5db92e}
recoveryenabled         Yes
osdevice                partition=C:
systemroot              \Windows
resumeobject            {2bd58bb5-12d9-11eb-b328-b016eb5db92e}
nx                      OptIn
debug                   Yes

0x03 调试机的设置

打开调试机，安装好windbg。随后我们复制一个新的桌面快捷方式，改名字(为了区分原来的快捷方式)，然后右键-->属性-->目标在后面添加'-b -k com:port=1,baud=115200'图片如下

这时我们需要重启被调试机,进入支持debug的启动选项，这时我们观察windbg已经连接到了目标主机，如下图

0x04 设置内核调试用的符号表

在内核调试下，按g可让目标主机继续运行，如果想让目标中断可选择调试器的debug–>Break选项，即可把控制权交还调试器，随后我们加载内核调试需要的符号表,首先需要调试机联网，随后在调试器键入ctrl+s打开符号表路径设置，输入如下SRV*c:\symbols* https://msdl.microsoft.com/download/symbols这里的意思是告诉调试器，首先去c盘的symbols目录找符号表，如果找不到就联网到微软的符号表服务器远程下载，下载的文件同样会存到symbols目录方便下次使用.所以需要手动到c盘新建一个名字为symbols的空文件夹．随后在调试器的命令行输入.reload /f重新加载符号表，一般来说第一次都会联网下载符号表的，下载过程中由于某些文件变化符号表已经不维护，所以会出现部分找不到的情况，但基本影响不大，如果出现完全不能下载的情况，请参考之前的文章解决。下载好以后就可以双机调试了