[原创]利用VMware debugStub机制调试中断现场/KiDispatchException/KiSystemCall64-逆向工程-看雪安全社区

# 利用VMware debugStub机制调试中断现场/KiDispatchException/KiSystemCall64

中断现场、KiDispatchException、还有syscall/sysenter的内核入口的调试，似乎对很多新手都造成了不小的困扰。

最近突然想到VMware等常见虚拟机都是支持GDB调试的，而这种调试机制，是独立于客户机系统之外的。

windbg之所以不能调试**中断现场/KiDispatchException**主要就是因为这些代码处于异常分发的逻辑之中，而gdb调试不属于这一体系，所以就能绕过这种限制。

本文以VMware+IDA为例，VirtualBox、QEMU的大致情况应该也基本一致

### 根据客户机的位数，选择对应的配置添加到.vmx文件中

```
debugStub.hideBreakpoints= "TRUE"
debugStub.listen.guest32 = "TRUE"
debugStub.listen.guest32.remote = "TRUE"
monitor.debugOnStartGuest32 = "TRUE"
```

```
debugStub.hideBreakpoints= "TRUE"
debugStub.listen.guest64 = "TRUE"
debugStub.listen.guest64.remote = "TRUE"
monitor.debugOnStartGuest64 = "TRUE"
```

`debugStub.listen.guest??.remote` 允许其他机器来远程调试，非必选项

`monitor.debugOnStartGuest??` 会让客户机开机一瞬间就等待调试器，方便调试BIOS，非必选项

### 配置IDA

![](upload/attach/202507/826120_NAF3XEVJ8KXSE32.png)
![](upload/attach/202507/826120_QGMK466VYB4QY6Z.png)

32位客户机，端口是8832
64位客户机，端口是8864

![](upload/attach/202507/826120_A4JE3N4KBSXQQ5K.png)

附加到虚拟机：

![](upload/attach/202507/826120_MGNCAA43FJ5JR2J.png)
![](upload/attach/202507/826120_CUUU2ZY5GQR3P9R.png)

附加成功。但部分内存不能直接跳过去（我也不太清楚IDA为什么这么设计），我们手动设置一下内存区域：

![](upload/attach/202507/826120_GEZKKUAKQDEB4ED.png)

右键插入：

![](upload/attach/202507/826120_BTN6F73AXPPHY5T.png)

插入范围为`0`到`FFFFFFFFFFFFFF00`

![](upload/attach/202507/826120_E8Q3GBWADF4TG68.png)

将地址Rebase过去，这样所有的符号都能直接用了

![](upload/attach/202507/826120_X2HZTM6WZ5JQ5WF.png)

Rebase的地址就是内核镜像的地址。我这里是`0xFFFFF800168A3000`

![](upload/attach/202507/826120_GHKTDRE95EKQ4HR.png)

试试效果。

IDT中指向的INT3处理函数直接命中，可以单步调试

![](upload/attach/202507/826120_SBMD7Q3W9HWK2AM.png)

syscall的内核入口，可以单步

![](upload/attach/202507/826120_KPDAHGAEYQ2DM24.png)

KiDispatchException更是不在话下

![](upload/attach/202507/826120_TXVMH9EXRF643G6.png)

回复或点赞可查看完整内容

冰与火的战歌：Windows内核攻防实战高级班！从零到实战，融合AI与Windows内核攻防全技术栈，打造具备自动化能力的内核开发高手。

最后于 2025-7-24 01:05 被xyzliao编辑，原因：文字

#调试逆向 #系统底层

最新回复 (10)
mb_tsapxgnh 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 37 粉丝 0 关注私信	mb_tsapxgnh 2 楼 tthhhttrdeeg 2025-7-26 05:17 0
hungnguyen 雪币： 188 活跃值： (2181) 能力值： ( LV2，RANK：10 ) 在线值：发帖 7 回帖 114 粉丝 0 关注私信	hungnguyen 3 楼 Thanks for share! 2025-7-26 16:13 0
wx_何健雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 34 粉丝 1 关注私信	wx_何健 4 楼 Thanks 2025-8-19 16:57 0
sisess 雪币： 11332 活跃值： (7032) 能力值： ( LV4，RANK：50 ) 在线值：发帖 2 回帖 155 粉丝 1 关注私信	sisess 1 5 楼看看 2025-10-8 22:03 0
龟仙人雪币： 567 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 51 粉丝 1 关注私信	龟仙人 6 楼 666666666666666666666 2025-10-22 01:42 0
小迷糊ddd 雪币： 268 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 152 粉丝 0 关注私信	小迷糊ddd 7 楼感谢分享，学习一下。 2026-4-8 12:01 0
mb_aopnnvxb 雪币： 97 能力值： ( LV1，RANK：0 ) 在线值：发帖 1 回帖 81 粉丝 0 关注私信	mb_aopnnvxb 8 楼 mark 2026-4-8 14:54 0
wx_白驹过郤雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 6 粉丝 0 关注私信	wx_白驹过郤 9 楼学习一下。 2026-4-15 11:30 0
杰森66988 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 12 粉丝 0 关注私信	杰森66988 10 楼 mark 感谢 2026-6-7 01:38 0
魔童雪币： 946 活跃值： (2387) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 113 粉丝 1 关注私信	魔童 11 楼 66666666 2026-6-21 17:24 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复