Re Windbg

WinDbg 动态调试（Windows 用户态 + 内核）

何时使用 / 何时不用

• 用：Windows 用户态进程调试（启动/附加、断点、单步、寄存器）；崩溃/异常分析（!analyze -v）；内核调试（双机/VM/本地 kd）；驱动与内核模块分析（配合 [[re-kernel]]）；崩溃 dump（minidump/full dump）分析
• 用：时间旅行调试（TTD）——ttd.exe 录制 .run 轨迹后任意回放，适合「复现一次慢慢查」的校验/解密逻辑（见 [[commands]] TTD 节）
• 不用：Linux 目标（走 [[re-gdb]]）；macOS 目标（[[re-lldb]]）；只需轻量 GUI 调试（[[re-x64dbg]] 更快）
• 不用：只做静态分析/反编译（[[re-ida]] / [[re-ghidra]] / [[re-binaryninja]]）；无需与运行态互动的纯静态流程不需要调试器
• 不用：WSL 内跨边界 attach Windows 进程（[[re-analyze/platform-tips]] WSL 分支：跨边界走 Windows 侧工具）

工具准备

参考 [[re-analyze/platform-tips]] Windows 分支——attach 需要管理员权限；调试属动态执行，默认沙箱内进行（[[re-analyze/platform-tips]] 最高原则）。

WinDbg（微软商店版 / Windows SDK / WDK）

• 商店版（新 UI WinDbg）：winget install Microsoft.WinDbg（或 Microsoft Store 搜索 "WinDbg"）
• 经典版：Windows SDK 安装器勾选 "Debugging Tools for Windows"；choco install windbg
• WDK（含内核调试工具 kd.exe/kdnet.exe）：winget install Microsoft.WindowsWDK 或 Visual Studio 安装器勾选 WDK
• 验证: 打开 WinDbg，File > Open Executable 加载任意 exe 能停在初始断点；命令窗口 ver 输出版本号
• 版本差异: 商店版（WinDbg 1.x，Chromium UI）与经典版（WinDbg 10.0.x）命令兼容，UI 与附加流程不同；dump 分析两者通用（见 [[gotchas]]）

Windows 符号（Windows SDK 符号 / 公共符号服务器）

• 符号路径: .sympath srv*C:\symbols*https://msdl.microsoft.com/download/symbols（或设环境变量 _NT_SYMBOL_PATH）
• 内核模块符号: 内核调试下 .reload /f nt（强制从符号服务器拉取）
• 验证: !analyze -v 输出中出现函数名而非 +0x1a 裸偏移

双机/虚拟机内核调试环境

• 目标机（被调试）: bcdedit /debug on + bcdedit /dbgsettings serial debugport:1 baudrate:115200（串口）或 bcdedit /dbgsettings net hostip:<宿主机IP> port:50000 key:<kdnet.exe生成的key>（NET 网卡，Windows 10+ 推荐）
• VM 场景: VMware/Hyper-V 给目标 VM 添加串口设备（Named Pipe \\.\pipe\com_1 / -vmconnect），宿主 WinDbg File > Kernel Debug > COM 填管道名
• 本地内核调试（仅测试机，需测试签名）: bcdedit /set testsigning on 重启后，WinDbg File > Kernel Debug > Local
• 验证: 目标机重启停在 "Waiting to reconnect" 或进入调试等待后，宿主 WinDbg 附加成功、g 后 Ctrl+Break 能中断、lm 列出模块

TTD（时间旅行调试，Windows 10 1903+）

• 录制: ttd.exe -out C:\traces target.exe（或 -attach <pid> 附加录制；-monitor <进程名> 监控启动）
• 打开: WinDbg File > Open 选 .run 轨迹文件（或 Open Trace File）
• 验证: ttd.exe -help 有输出；录一段后用 WinDbg 打开，!tt 能跳到任意位置、g- 能往回跑（详见 [[commands]] TTD 节）

操作步骤

1. 附加/启动用户态目标：

   • 启动: File > Open Executable 选目标 exe，停在初始断点（ntdll 加载完成处）
   • 附加: File > Attach to Process 按 PID/进程名选目标（管理员权限启动 WinDbg 才能附加高权限进程）
   • 命令行: windbg -p <pid> / windbg 目标.exe；-g 跳过初始断点直接运行

2. 断点 / 单步 / 寄存器：

   • 符号断点: bp kernel32!CreateFileW；地址断点: bp 0x401000；bl 列表、bd/be 禁用/启用、bc * 清空
   • 未加载模块的符号用 bu（unresolved，模块加载后自动绑定）——目标 DLL 按需加载时 bu 是正解
   • 命令断点: bp 地址 "r rax; k; gc"——命中时打印现场后自动继续，日志式观察不打断流程
   • 单步: g 继续、p 步过、t 步入、gu 执行到当前函数返回
   • 寄存器: r 全部、r rax 查看、r eax=0 修改（绕过校验常用）
   • 内存/反汇编: u 0x401000 反汇编、dd/db 读内存、dps rsp 看栈内容
   • 搜索: s -d 0x0 L?10000000 0xdeadbeef（值）、s -a 0x0 L?10000000 "text"（ASCII 串）——找硬编码常量/密钥用
   • 符号搜索: x 模块!*关键字*（如 x kernel32!*Virtual*）——不确定精确符号名时模糊匹配

3. 异常分析 !analyze -v：

   • 目标崩溃停下后: !analyze -v → 读 EXCEPTION_CODE、FAULTING_IP、STACK_TEXT、PROCESS_NAME
   • 内核蓝屏对应 bugcheck 码（BUGCHECK_CODE，如 0xD1 驱动访问无效内存）——先记码再往下查，常见码含义要能对上故障方向
   • 现场恢复: 从 STACK_TEXT 取 EXCEPTION_RECORD 地址 .exr <addr>（异常记录），再取 CONTEXT 地址 .cxr <addr> 恢复寄存器现场，之后 k 出真实调用栈（栈损坏时唯一可靠的栈回溯方式）
   • dump 现场更简单: 打开 dump 后直接 .ecxr（自动用异常上下文设寄存器现场）→ k——minidump 分析标准开局
   • dump 分析: File > Open Crash Dump 打开 .dmp（用户态用 .dump /ma 生成；内核蓝屏用 %SystemRoot%\Minidump\*.dmp 或完全 dump），同样 !analyze -v 出 bugcheck 码与故障模块

4. 内核调试（双机 / VM / 本地 kd）：

   • 目标机配置见「工具准备」；配置后重启，宿主 File > Kernel Debug 按所用传输（COM/NET）连接
   • VM 管道串口流程: 目标 VM 加串口 Named Pipe → 目标机 bcdedit /dbgsettings serial → 宿主 File > Kernel Debug > COM 填管道名（\\.\pipe\com_1）→ 目标机重启等连
   • 连接后: g 让目标继续跑；Ctrl+Break 随时中断回调试器；!process 0 0 确认会话活着
   • 本地调试: bcdedit /set testsigning on 重启后 File > Kernel Debug > Local（仅测试机，不影响生产机的用法）

5. 扩展命令：

   • !process 0 0（全部进程列表）、!process <EPROCESS> 1（单进程详情+线程）；.process /p <EPROCESS> 切到目标进程上下文后再 k/!thread
   • !teb（当前线程 TEB）、!peb（当前进程 PEB——命令行、加载模块、环境块）
   • lm（模块列表，行尾 (deferred)=符号未加载、(no symbols)=无符号）、lmv m <模块>（版本+路径）、lmi <模块>（镜像头）
   • kv（带符号完整栈回溯，驱动分析常用）、!analyze -v 后按 STACK_TEXT 逐帧核对
   • 驱动专项: lmv m 驱动名 拿基址 → .reload /f 驱动名 加载符号 → 深挖转 [[re-kernel]]

6. TTD 回放（校验/解密逻辑慢查）：

   ttd.exe -out C:\traces target.exe     # 录制
   WinDbg 打开 .run → g- / t- / p-       # 往回跑
   !tt 50                                 # 跳到轨迹 50% 处
   !tt 7213:36                            # 跳指定位置（事件序号:步数）

   • 断点前移/后移: !tt br 在某寄存器值变化处停；!tt bm 在内存访问处停
   • 首次打开轨迹先 !tt.index 建索引（之后打开跳过）；回放中途也可断点 bp（在轨迹上工作）
   • 查询 API: dx @$cursession.TTD.Calls("模块!函数") 统计调用次数/参数（如 ...Calls("ntdll!mem*")）
   • TTD 限制: 需管理员运行、用户态专用、轨迹文件很大（数 GB）、回放只读不能写内存（见 [[gotchas]]）

7. 伪寄存器与脚本化（简单自动化）：

   • 伪寄存器: r $t0 = 0 起临时变量；$$ > <文件> 把命令输出重定向到文件（如 $$ > c:\log.txt）
   • 条件执行: .if (rax==0) { ... } .else { ... }——配合 gc 做断点内逻辑
   • !runaway 看线程 CPU 时间（找忙等/死循环线程）；!locks 查锁状态（挂起排查）