首页
社区
课程
招聘
[原创]使用IDA+VMware调试64位Windows的方法
发表于: 2014-6-5 22:13 17253

[原创]使用IDA+VMware调试64位Windows的方法

2014-6-5 22:13
17253

最近收到几位论坛朋友发来的私信来询问如何使用IDA调试64位Windows启动过程。
使用IDA+VMware调试MBR和OS Bootloader的文章已经屡见不鲜了。但是很多朋友在使用IDA在调试64位Windows时,会发现在调试64位Windows的bootmgr时,当调试到bootmgr!Archx86TransferTo64BitApplicationAsm时,调试器失去响应,跟假死一样。断开调试器后,使用64位IDA连接也无响应。我查了一下相关的文档,整理出可以正常调试Windows x64的方法。

VMWare提供的GDB Stub分两个部分,一个用于支持x86,一个用于支持x64。
当VMWare的虚拟CPU运行于16/32位模式时,32位支持的GDB Stub生效,监听在8832端口。如果VMWare开启了调试支持,则VMWare启动后自动开启8832端口。
当VMWare的虚拟CPU运行于Long-Mode时,8864端口开始监听。

设置步骤

1.在对应虚拟机的.vmx文件中加入如下代码

debugStub.listen.guest32.remote = "TRUE"
debugStub.listen.guest64.remote = "TRUE"
monitor.debugOnStartGuest32 = "TRUE"
debugStub.hideBreakpoints = "TRUE"
bios.bootDelay = "3000"

2.打开32位IDA,启动VMWare,使用IDA连接到VMWare开始调试。
3.在bootmgr!Archx86TransferTo64BitApplicationAsm上下断点,找到从Protected Mode跳转到Long-Mode的那个长跳转,在跳转到的目标位置下一个断点。

4.F7单步步过jmp far指令后,IDA进入等待 此时启动IDA64,连接8864端口即可进行64位调试。


有了VMWare+IDA,就可以让难用的BOCHS去死了


[培训]内核驱动高级班,冲击BAT一流互联网大厂工作,每周日13:00-18:00直播授课

上传的附件:
收藏
免费 3
支持
分享
最新回复 (10)
雪    币: 69
活跃值: (242)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
wmg
2
很不错的感觉,回头也试试玩~
2014-6-5 23:09
0
雪    币: 0
活跃值: (60)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
3
先收下了,晚上下班回去研究
2014-6-6 09:11
0
雪    币: 6092
活跃值: (699)
能力值: ( LV4,RANK:45 )
在线值:
发帖
回帖
粉丝
4
好东西  感谢啊
2015-1-26 14:37
0
雪    币: 11026
活跃值: (17530)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
5
楼主技术了得啊,来支持
2015-1-26 15:04
0
雪    币: 14
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
6
太牛了, 学习一下
2015-1-28 10:23
0
雪    币: 244
活跃值: (174)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
7
前排学习一下
2015-2-5 16:59
0
雪    币: 244
活跃值: (174)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
8
好文章,进来学习下
2015-12-22 17:18
0
雪    币: 203
活跃值: (165)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
9
bootmgr!Archx86TransferTo64BitApplicationAsm上下断点,找到从Protected Mode跳转到Long-Mode的那个长跳转,在跳转到的目标位置下一个断点。楼主  能不能说说这一步具体怎么做  没用过ida 谢谢
2016-4-17 18:35
0
雪    币: 43
活跃值: (40)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
10
顶上去,不错
2016-5-24 09:54
0
雪    币: 2375
活跃值: (433)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
11
VMWare可以完全替代BOCHS了?
2018-4-2 09:10
0
游客
登录 | 注册 方可回帖
返回
//