vitoplantamura/bugcheckerDepurador de kernel similar ao SoftICE para Windows 11
BugChecker é um depurador de kernel e usuário semelhante ao SoftICE para Windows 11 (e também Windows XP: suporta versões do Windows do XP ao 11, tanto x86 quanto x64). O BugChecker não requer uma segunda máquina conectada ao sistema que está sendo depurado, como no caso do WinDbg e KD. Esta versão do BugChecker (diferentemente da versão original desenvolvida 20 anos atrás) utiliza a API KD interna e não documentada do NTOSKRNL. A API KD permite que WinDbg/KD faça chamadas como ler/escrever memória virtual, ler/escrever registradores, colocar um breakpoint em um endereço, etc.
Por outro lado, o BugChecker original, assim como o SoftICE, costumava "assumir o controle" do sistema, interceptando várias APIs do kernel (tanto exportadas quanto privadas), assumindo o controle do APIC, enviando IPIs, etc. Essa abordagem aumenta a complexidade exponencialmente (e reduz a estabilidade do sistema), pois a implementação deve ser compatível com todas as versões e subversões suportadas do Windows (no nível da assinatura da função), bem como todas as possíveis configurações de hardware suportadas. Além disso, 20 anos depois, o PatchGuard torna essa solução impossível.
Por outro lado, esta versão do BugChecker, ao interceptar chamadas a KdSendPacket e KdReceivePacket no kernel, apresenta-se à máquina que está sendo depurada como um segundo sistema executando um depurador de kernel externo, mas, na realidade, tudo acontece na mesma máquina. Normalmente, isso é alcançado substituindo KDCOM.DLL (que é o módulo que implementa a comunicação por cabo serial para a API KD no Windows) e iniciando o sistema em modo de depuração de kernel. Essa abordagem (inspirada pelo VirtualKD) reduz a complexidade e aumenta a estabilidade e compatibilidade (e portabilidade, por exemplo, para ARM - e modularidade, uma vez que as capacidades de depuração de baixo nível são implementadas por trás de KdXxxPacket e poderiam ser substituídas por uma implementação personalizada). Além disso, a presença de um depurador de kernel na inicialização (embora "falso") faz com que o Windows desabilite o PatchGuard.
No momento, o BugChecker requer um teclado PS/2 para entrada e um framebuffer linear para escrever sua saída. Observe que o teclado embutido de muitos laptops modernos ainda é PS/2.
Demonstração do BugChecker no Windows 11 22H2, dentro do VirtualBox 7.0.4. Uma condição de breakpoint JavaScript é escrita que altera o fluxo de execução em um thread de modo usuário.
BugChecker rodando em um ambiente muito restrito: um Raspberry Pi 4 (4GB RAM), via QEMU no Windows XP (512MB RAM). Um breakpoint é usado para registrar todas as chamadas SYSENTER do modo usuário para o kernel. O índice do serviço é armazenado em um array JavaScript.
Executando BugChecker diretamente em hardware real, em um HP Pavilion Dv2000, que é um PC antigo com teclado PS/2. O sistema operacional é Windows 7 Home 32 bits.
Certifique-se de que o Secure Boot esteja desabilitado ao instalar e usar o BugChecker. Normalmente você pode reativá-lo depois. Se estiver usando VMware ou VirtualBox, o Secure Boot pode ser desabilitado nas configurações da máquina virtual.
Considere também habilitar o menu de inicialização legado, se estiver usando Windows 8, 10 ou 11, usando o comando: bcdedit /set "{current}" bootmenupolicy legacy. Isso permite uma experiência mais suave durante a inicialização, permitindo selecionar a opção de boot do BugChecker e desabilitar a Imposição de Assinatura de Driver ao mesmo tempo.
O primeiro passo é iniciar o Symbol Loader:
Se necessário, desabilite os drivers de vídeo clicando no botão "Disable Display Drvs". A mesma coisa pode ser feita no Gerenciador de Dispositivos do Windows. Após desabilitar os drivers de vídeo, eles permanecem desabilitados mesmo após uma reinicialização do sistema. Eles podem ser reabilitados a qualquer momento depois, quando não estiver usando o BugChecker.
O ponto aqui é que o BugChecker precisa de um framebuffer linear com formato de 32 bits por pixel para desenhar sua interface. Ao desabilitar os drivers de vídeo, o Windows descarta a aceleração de hardware para desenhar sua interface e volta para o modo de compatibilidade VGA. Se estiver executando em hardware real ou VMware, você deve desabilitar os drivers de vídeo. Se estiver executando no VirtualBox, você deve desabilitar os drivers de vídeo ou definir a configuração vm_screen no BugChecker.dat, conforme descrito abaixo. Se estiver executando no QEMU, você não precisa desabilitar os drivers de vídeo, mas certifique-se de especificar o dispositivo de vídeo "-vga std".
Observe que o modo de compatibilidade VGA pode limitar a resolução máxima da tela. O VMware é limitado a uma resolução máxima de 1152x864. O QEMU com o dispositivo de vídeo "-vga std" não sofre dessa limitação.
