[分享]VirtualKD+IDA+VM+Windbg调试无PDB内核驱动

在公司为了分析一个没有PDB的驱动.头都炸了...

windbg调那个玩意简直反人类啊

用IDA+windbg调试内核.半分钟走一步.那速度根本没办法玩

以前写驱动都是直接VS13+windbg调试.速度也不错.而且都是直接看着源代码F1

不过现在我打开了新世界...

配置virtualKD target复制过去运行一下就行了.

重启以后会卡在这里.需要windbg接上去g一下 不然永远都不走

但是这里不用windbg. IDA已经集成进去了

过来配置windbg.我在家只有这种中文破解版

选择内核调试

配置一下目录和sys

填错会导致驱动断电断不下来

最后一个要按照VirtualKD的来填

我的是com:pipe,resets=0,reconnect,port=\\.\pipe\kd_windows_7

其实都一样

启动之前下断电

启动后会自动接上去.这里不能用G.只能点那个三角来go

加载驱动

我没设置启动加载.如果直接设置启动加载,完全不需要进入界面就能调试.速度会更快一点

拦截到了xx.sys

PDB已经被我删除了

命中断点

速度跟飞一样.没有PDB的时候用windbg.调的根本不知道自己叫什么.在哪里.

而且用这个也不需要去手动sxe bu bp 算偏移入口

KD这个东西用来加速很吊.而且是万能出装.用VS+windbg的套路也能搭配上.这里我就不演示了

最后.断点貌似只能在入口点下.不然断不下来

在公司那个阴暗的角落试了半天之后...终于迎来了救世主...

---------------------------------------------------------

忘记说了.这个查看内存非常恶心

所以手动dd du da吧

windbg的命令都可以用