REcon 2024 - 使用 WinDbg 进行更好调试的技巧与诀窍

本仓库包含为 REcon 2024 上的研讨会“Tips & Tricks for better debugging with WinDbg”创建的材料。

环境搭建

该研讨会材料旨在为 WinDbg 在内核模式调试时提供有用的功能，但其概念同样可以很好地应用于用户模式调试。

要轻松搭建 KdNet 环境，可以：

• 创建一个 Windows 虚拟机，并使用 bcdedit /dbgsettings 进行设置
• 使用 WindowsSandbox

Enable-WindowsOptionalFeature -All -Online -LimitAccess -FeatureName Microsoft-Hyper-V # optional
Enable-WindowsOptionalFeature -All -Online -FeatureName Containers-DisposableClientVM # optional
CmDiag.exe DevelopmentMode -On 
CmDiag.exe Debug -on –net –hostip $LocalHostIP –key 1.2.3.4

• 或者在你的主机上使用 LKD，前提是你能够启用调试模式（bcdedit /set {current} debug on）

幻灯片

研讨会的幻灯片可在此处获取：

• Slides

WinDbg 速查表也可在此处找到：

• Cheatsheet

演示

Demos 文件夹中包含一些在研讨会期间开发并展示的代码。

挑战

研讨会以一个挑战结束，其中包含一个可以使用 WinDbg 打开的 TTD 跟踪记录。 任务是发现 TTD 会话期间所执行的操作，并回答以下问题（以及其他问题）：

• 正在调试哪个进程？
• 哪些 API 被使用得最多？
• 跟踪记录中的“最终消息”是什么？

所有步骤都可以（也应该）完全在 WinDbg 中完成。

解决方案脚本可以在同一文件夹中找到。

联系方式

本仓库将保留在 Github 上，但会被归档。如果你有任何问题，欢迎通过 Twitter/X 或 Discord 联系我。