Comment configurer un lab VirtualBox pour déboguer un pilote de noyau avec Windbg

Nous considérons ici que sur l'ordinateur A, windbg est déjà installé et que sur l'ordinateur B, Visual Studio, le SDK et le WDK sont installés.

1. Ouvrez le Gestionnaire de réseau hôte pour créer ou configurer un nouvel adaptateur Ethernet hôte uniquement VirtualBox.

2. Créez ou choisissez un adaptateur Ethernet hôte uniquement VirtualBox et cochez la case Activer pour le Serveur DHCP.

3. Pour l'ordinateur A et l'ordinateur B, allez dans Paramètres -> Réseau et dans Connecté à, sélectionnez Adaptateur hôte uniquement, puis sélectionnez l'adaptateur précédemment configuré ou créé. Pour nous, il s'agit de VirtualBox Host-Only Ethernet Adapter. N'oubliez pas de cocher les cases Activer la carte réseau et Câble connecté.

4. Récupérez l'adresse IP sur l'ordinateur A avec la commande ipconfig

5. Désactivez le pare-feu sur les deux machines virtuelles

6. Sur l'ordinateur B, à partir d'une invite de commandes en mode administrateur :

• Activez le débogage du noyau bcdedit /debug on
• Configurez la connexion à l'ordinateur A pour le débogage bcdedit /dbgsettings hostip:1.2.3.4 port:50005
• Activez la signature de test bcdedit /set testsigning on

Pour la commande bcdedit /dbgsettings, définissez pour hostip l'adresse IP de votre ordinateur A et pour port choisissez celui que vous voulez entre 50000 et 50039.

La commande bcdedit /dbgsettings affichera une clé, GARDEZ-LA : elle sera utilisée dans la configuration de windbg sur l'ordinateur A pour établir la connexion !

7. Sur l'ordinateur A, ouvrez Windbg, sélectionnez Attacher au noyau et définissez le port que vous avez choisi sur l'ordinateur B ainsi que la clé fournie par la commande bcdedit /dbgsettings.

8. Redémarrez maintenant l'ordinateur B. Sur l'ordinateur A, vous verrez dans l'invite de commandes de windbg des données indiquant que la connexion est établie.

9. Vous pouvez le vérifier en cliquant sur le bouton Break. Si cela fonctionne, l'ordinateur B devrait se figer et vous devriez voir un message nt!DbgBreakPointWithStatus dans la fenêtre de commandes de windbg

Amusez-vous bien !

Si vous voulez de bonnes ressources pour vous entraîner, allez voir :

• Windows Kernel Programming by Pavel Yosifovich
• Offensive Driver Development by @_rastamouse