Configuration

注:建议提前备份所有修改内容,可能会导致无法开机。

我的测试环境:

  • server: windows 10 + windbg
  • client: windows 7

Server

Server代表被调式机,修改 vmx 文件,查找并删除所有 serial 项,添加以下串口配置:

1
2
3
4
5
serial0.present = "TRUE"
serial0.fileType = "pipe"
serial0.fileName = "/private/tmp/com1"
serial0.tryNoRxLoss = "FALSE"
serial0.pipe.endPoint = "server"

Client

Client表示 Windbg 机器,修改 vmx 文件,查找并删除所有 serial 项,添加以下串口配置:

1
2
3
4
5
serial0.present = "TRUE"
serial0.fileType = "pipe"
serial0.fileName = "/private/tmp/com1"
serial0.tryNoRxLoss = "FALSE"
serial0.pipe.endPoint = "client"

KDM Boot

不同系统,启用 KDM 的方式有所区别,以 xpwin7为例:

xp

进入虚拟机中,修改 c:\boot.ini 文件,在最后添加启动项如下:

1
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professional Kernel Debugging" /noexecute=optin /fastdetect /debug /debugport=com1 /baudrate=115200

win7

cmd执行依次执行以下命令:

  1. 查看当前的启动项信息:
1
bcdedit /enum {current}
  1. 复制一个新的启动项,并开启调试模式和测试模式:
1
2
3
4
bcdedit /copy {current} /d "Windows Debug Entry"
bcdedit /dbgsettings serial baudrate:115200 debugport:1
bcdedit /debug {995296e0-793b-11e7-9ce1-b6eb54ee5b23} ON
bcdedit /set {995296e0-793b-11e7-9ce1-b6eb54ee5b23} TESTSIGNING on

注:{995296e0-793b-11e7-9ce1-b6eb54ee5b23}是第一条命令执行完之后提供的启动项标识符。

(可选)再添加一个只禁用驱动签名的启动项:

1
2
bcdedit /copy {current} /d "Windows Nointegritycheck Entry"
bcdedit /set {14858b7a-b83a-11e9-8c9e-aa67d4c793aa} nointegritychecks on

重启后,可以看到新加的 KDM 项:

windbg

打开 windbg 的内核调试功能,设置串口调试:

注:这里配置好,确定之后,再启动 server 的调试模式。

Break Kernel

如果正常的话,在 client 端会收到连接提示,并且在等待一些时间后,被调试机可能没有被中断,直接运行到了桌面或者登陆窗口,此时可以使用 windbg->debug->break 功能进行打断:

Ref




root@kali ~# cat 重要声明
本博客所有原创文章,作者皆保留权利。转载必须包含本声明,保持文本完整,并以超链接形式注明出处【[Techliu](https://scriptboy.cn)】。查看和编写文章评论都需翻墙,为了更方便地获取文章信息,可订阅[RSS](https://feeds2.feedburner.com/techliu),如果您还没有一款喜爱的阅读器,不妨试试[Inoreader.](https://www.inoreader.com)。
root@kali ~# Thankyou!

⬆︎TOP