REcon 2024 - Советы и хитрости для более эффективной отладки с WinDbg

Этот репозиторий содержит материалы, созданные для воркшопа «Tips & Tricks for better debugging with WinDbg» на REcon 2024.

Настройка

Материалы воркшопа предназначены для предоставления полезных возможностей WinDbg при отладке в режиме ядра, однако эти концепции вполне можно применить и к отладке в пользовательском режиме.

Чтобы легко настроить среду KdNet, можно:

• создать виртуальную машину Windows и настроить её с помощью bcdedit /dbgsettings
• использовать WindowsSandbox

Enable-WindowsOptionalFeature -All -Online -LimitAccess -FeatureName Microsoft-Hyper-V # optional
Enable-WindowsOptionalFeature -All -Online -FeatureName Containers-DisposableClientVM # optional
CmDiag.exe DevelopmentMode -On 
CmDiag.exe Debug -on –net –hostip $LocalHostIP –key 1.2.3.4

• или использовать LKD на вашем хосте, если можно включить режим отладки (bcdedit /set {current} debug on)

Слайды

Слайды воркшопа доступны здесь:

• Слайды

Шпаргалку по WinDbg также можно найти здесь:

• Шпаргалка

Демо

Папка Demos содержит код, разработанный в рамках воркшопа и продемонстрированный во время его проведения.

Задание

Воркшоп завершился заданием, содержащим TTD-трассировку, которую можно открыть с помощью WinDbg. Задача заключалась в том, чтобы выяснить, что делалось во время TTD-сеанса, и ответить (в числе прочего) на следующие вопросы:

• Какой процесс отлаживается?
• Какие API используются чаще всего?
• Каково «финальное сообщение» в трассировке?

Все шаги можно (и нужно) выполнить полностью в WinDbg.

Скрипт с решением можно найти в той же папке.

Контакты

Этот репозиторий останется на GitHub, но будет заархивирован. Если у вас есть вопросы, не стесняйтесь обращаться ко мне в Twitter/X или Discord