浅显内核笔记-软件逆向-看雪-安全社区|安全招聘|kanxue.com

浅显内核笔记

发表于: 2015-4-22 18:11 3195

浅显内核笔记

淘气鬼

活跃值

2015-4-22 18:11

3195

Windbg使用
一、安装过程
1.下载好windbg相关版本的安装文件（windbg.exe）
2.双击windbg.exe运行，进行安装。==》next==》next==》agree==》选择安装目录==》finish。

使用过程
1.来到windbg的安装目录，找到相关的windbg.exe（注意：不是安装版windbg.exe）双击运行，如图1所示：

2.进入调试界面，点击 “文件”，选择 “内核调试” ：如图2所示：

3.进入内核调试界面，来到“本地”界面，点击“确定”，如图3所示；就进入的windbg内核调试界面了，命令界面窗口，如图4所示。

4.到这还不是配置结束，如果这样就开始输入命令行，大部分命令是提示命令行不符（例如：！pte），但命令行确实正确的，可就是得不出答案。有幸请教了15PB的薛老师，解决了这个问题。
“文件”==》“符号文件路径”（Symbol File Path），然后输入：
http://msdl.microsoft.com/download/symbols 点击“确认”（OK）如图5所示：

5.开始尝试执行命令行，输入：!pte （pte（page table entry）为内存页表引索），得出如图7结果：

二、执行命令行
1.查看系统级现在运行的进程，输入：!process 将会显示系统正在运行的进程。得到结果如图8：

2.手工设置当前进程输入：.process 821b9830 设置成功，得到如图9结果：

3.查看指定线性地址相关的PDE（页目录引索），PTE（页表引索）。
输入：!pte 20001 将会显示：0x20001地址的相关PDE（页目录引索），PTE（页表引索）信息，如图10所示：

4.接下来看看先行地址到物理地址的转换，输入：.formats 20001 ，将会得到他们之间的转换信息，如图11。

今天就先到这吧，小白初涉windbg，大牛莫笑！

[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！

上传的附件：

1.png （15.10kb，199次下载）
2.png （65.96kb，201次下载）
3.png （21.99kb，200次下载）
4.png （25.91kb，199次下载）
5.png （10.16kb，200次下载）
7.png （13.73kb，200次下载）
8.png （113.83kb，202次下载）
9.png （10.15kb，200次下载）
10.png （7.78kb，200次下载）
11.png （18.46kb，198次下载）

收藏・5

免费・0

支持

分享

最新回复 (0)
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

返回

淘气鬼

发帖

回帖

RANK

他的文章

看雪公众号

专注于PC、移动、智能设备安全研究及逆向工程的开发者社区

//