转载自https://blog.csdn.net/zmqblog/article/details/17334637
一、引子
DebuggingToolsforWindows是微软发布的一套用于软件调试的工具包(后面如果没有指明，那么我会使用WinDbg来作为这一套调试工具的简称)。我第一次接触是在三年前的一个内核驱动项目，由于进行了IDT中键盘鼠标中断的Hook，使用Softice调试时造成会造成影响，只得使用WinDbg通过串口进行双机调试。自此之后这个Windows平台下最为强大的调试工具一直是开发过程中的必备。这里我毫不掩饰的说“最强”，可能很多通过逆向工作而接触调试的朋友不会认同，但是我相信随着对WinDbg了解的加深，以及对这套工具在软件开发中应用的了解，他们也会和我有一样的观点。一直以来，软件调试技术在软件开发者中都没有得到足够的普及和重视，互联网上能找到的系统描述的资料也较少。随着国内软件行业整体的发展和进步，这些技术慢慢开始得到推广。2008年出版的有关调试的数据比以往都要多。我有幸拜读了Raymond的《软件调试》，以及熊力的《Windows用户态程序高效排错》，获益良多。这几年的工作中也积累了一些关于Windows调试工具的知识，希望能够将这些东西进行一些分享。因此，利用几个月空闲时间翻译了WinDbg文档中上半部调试器配置、使用和命令介绍的内容，同时准备写一些关于WinDbg调试工具的初级文章。希望能够为对调试技术感兴趣而又苦于没有资料的朋友提供一些帮助。
特别感谢我的前同事小喂。虽然他第一条串口线还是我焊的，但是他对于WinDbg的使用和了解程度很快就超过了我。在相当长时间的共事和讨论中，让我学到了很多。
二、Windows调试工具的简介和组成
WinDbg是专门为WindowsNT系列操作系统设计的调试器，最早是作为WindowsNT3.1的工具发布的。其后也一直跟随NT操作系统的发展而不断发展完善。如果用一句话来概括，可以说WinDbg是为了软件开发而存在的调试工具。软件包中的调试器和小工具的各种功能都是为了配合软件的开发而设计的，并且覆盖到了Windows平台下各种不同类型项目的调试(传统的SDK或MFC应用程序、.NET平台应用、COM应用、软硬件驱动程序等等)。
Windows调试工具包中的调试器包括WinDbg、KD、CDB和NTSD。其中，KD用于内核调试；CDB和NTSD用于用户态调试，在功能和使用上几乎完全一致；WinDbg是内核调试器和用户态调试器的综合体，由于功能完善并且具有图形界面，所以是最常用的工具。它们能够在x86、Itanium和x64机器上的所有NT平台操作系统中运行。
另外，工具包中还有一些小工具，下面是常用的几个：
KDbgCtrl：用于控制和配置内核调试的一些参数。例如是否只有当发生异常时才会启用内核调试、设置DbgPrint缓冲区大小、如何处理用户模式异常等等。
ADPlus：这是一个VB脚本，可以为一个或多个进程自动创建内存dump。
SymStore：用于创建符号存储。当需要创建自己的符号存储时就要用到它了。
SymProxy：用于在网络中创建单独的HTTP符号服务器，以供所有调试器使用。该工具特别适合企业级应用的环境，可以将多个符号存储通过单一的接入点提供使用。
DbgSrv、KdSrv、Remote.exe：用于远程调试。
GFlags：用于编辑GlobalFlags。
UMDH：用于对用户模式堆分配的情况进行转储和分析。
USBView：这是WinDbg6.10.3版本才加入到软件包中的工具，可以查看当前连接到系统中的USB设备信息。
另外，ApplicationVerifier虽然没有包含在软件包中，但是也是一个非常强大的工具。可以对程序运行时的很多状态进行监控，以发现一些普通调试难以找到的错误。下面是ApplicationVerifier配置界面的一个截图：
ApplicationVerifier可以在这个页面下载：http://go.microsoft.com/fwlink/?linkid=108353
三、Windows调试器和其他熟知的调试器比较
可能很多已经习惯使用SoftICE、OllyDbg、IDE调试器的朋友会提出这样的疑问：在这么多调试器中，为什么要选择WinDbg？它究竟有什么特点？
设想一下下面几个场景：
公司的软件针对企业级用户，该客户在地球另一半的美国。有一天客户抱怨了一个BUG，但是从抓取的dump又没办法看出个所以然，想进行动态调试查找原因。公司预算有限，不能让你过去出差顺便旅游、对方公司有防火墙，不允许外部连接，等等等等。。。怎么办？
项目规模很大，涉及到的模块多，版本也多，并且是由不同部门开发的。这些部门可能遍布五湖四海。如何在调试其中某个模块时，能够快速获得它的符号和源文件，而不用每次都从一大堆不同版本的文件中辛苦找寻？调试到某个阶段，突然发现这不是自己的模块出现问题，如何快速知道这个问题应该找谁解决？项目某些重要模块有保密需要，如何控制调试人员访问符号和源文件的权限？
驱动程序怎么才能源码调试？SoftICE不支持新系统，我要在Vista上调试怎么办？
软件中包含一个Windows服务组件，但是每次还没有登陆到桌面之前就崩溃了，怎么进行动态调试？
我想调试Explorer，调试IE，调试CSRSS，调试……，但是调试器一附加上去，系统就会出问题。怎么办？
公司发布的软件，有用户反馈和XXX安全软件冲突老是造成系统崩溃，但是搭建环境之后却又没有办法重现；对方是个普通用户，鼠标都抓得不太稳。用户很火大，闹着要抓个老虎到公司来找你上司做俯卧撑，后果很严重，怎么办？
在现实环境中，有很多复杂的调试场景，我们需要专业级的调试器来解决这些问题。而WinDbg恰恰提供了这种商业软件环境下的专业级软件调试功能，它和其他很多我们熟知的调试器的区别也在于此。
我们将WinDbg和其他调试器分作内核调试器和用户态调试器两类来进行比较。
内核调试方面：
WinDbgSoftICE
原理Windows操作系统内置调试支持Hook中断，接管系统
系统和平台支持x86、Itanium和x64机器上的所有NT平台操作系统x86，由于已停止更新，新版本操作系统中支持不佳，老系统中也常常遇到兼容性问题
符号和源码支持完美支持符号调试和源码调试，可直接使用微软公共符号支持符号调试和源码调试，但是需要先转换符号格式
远程调试通过和远程工具、转发器的配合，实现各种灵活的远程调试方式，以支持不同的网络环境通过VirtualSoftICE支持基于网络的远程调试
硬件需求通过串口、1394、USB2.0接口的双机调试；通过Pipe连接的虚拟机调试；或者功能有诸多限制的本地内核调试单机或者通过VirtualSoftICE的双机调试
用户界面由于是双机调试，调试器只是主控机上运行的一个普通软件。拥有GUI界面，可以同时进行其他应用。单机调试时完全接管系统，字符界面，操作不是很方便。
扩展性支持脚本和插件，并且软件包本身提供了大量非常有用的插件支持插件
由于SoftICE已经停止更新，WinDbg可以说是现在Windows平台上唯一好用的进行内核调试的工具，并且随着新版本的不断推出，不断地添加对新版操作系统的支持以及完善功能。强大的符号支持，方便的源码调试，使得内核级调试能够事半功倍。
用户态调试方面：
Windows调试工具包OllyDbgVisualStudio调试器
原理Windows的用户程序调试支持Windows的用户程序调试支持Windows的用户程序调试支持
系统和平台支持主要基于NT系统，9x内核下支持不佳并且需要安装附加模块主要支持NT系统，9x下也可以使用新版本的VisualStudio不支持在9x系统下安装。VC6之前可以在9x下调试
符号和源码支持完美支持符号调试和源码调试，可直接使用微软公共符号支持符号调试和源码调试支持。VS2008开始可以直接使用微软公共符号
远程调试通过和远程工具、转发器的配合，实现各种灵活的远程调试方式，以支持不同的网络环境不支持较新版本VisualStudio中支持
无源码调试反汇编分析能力较弱，GUI界面偏弱，无源码时调试比较困难强大的代码分析能力，无符号和源码时也能很好的进行调试无源码调试的支持很弱，使用不便
用户界面GUI界面不是很丰富，大量操作需要通过命令GUI界面强大，能够实现大多数调试操作介于WinDbg和OllyDbg之间。
扩展性支持脚本和插件，并且软件包本身提供了大量非常有用的插件支持脚本和插件，有大量可用的资源支持插件扩展
Dump文件调试支持，分析功能强大不支持支持，但是不够强大
.NET调试通过SOS.dll支持，进行高级调试比较方便不能直接支持功能强大易用，绝大多数情况下都能解决问题
由于WinDbg功能相当复杂，有很多方面并不能一一比较，例如非侵入式调试、通过WinDbg控制CDB和NTSD来调试系统服务、创建和分析Dump文件等等。
总体来说，WinDbg更适合作为软件项目开发和维护过程中的调试工具使用，而OllyDbg更适合逆向工程。
四、何时使用Windows调试工具
根据我个人对WinDbg的使用经验来说，它更适合作为开发维护的辅助工具来使用。
如果要进行用户态的逆向工程，推荐使用OllyDbg、IDA这些拥有强大汇编程序分析能力的工具。
WinDbg更适用于以下这些场合：
商业软件的Debug和客户支持
内核驱动的调试，以及对驱动进行逆向工程时进行动态调试
研究Windows本身的内核或者软件
疑难BUG的调试，如死锁、COM调用、资源泄露、堆栈或者堆溢出
以性能优化为目的的调试
对调试目标基本不造成影响的非侵入式调试 、符号、源码和可执行映像路径设置
四使用WinDbg开始调试工作之前，最重要的就是配置好各种环境了。这使得调试器可以正确识别调试目标中的各种变量、函数等等，使得我们能够进行符号化调试或者源码调试，而不是只能在一堆汇编代码中转圈。
首先来看一下未设置环境之前的样子。使用刚才说的TestDebug1项目，为了对比更清晰，用Release进行编译，链接选项中选中生成map文件和调试信息，如下：
在C/C++选项卡中设置如下：
程序代码如下：
#include"stdafx.h"
#include<stdio.h>
intmain(intargc,char*argv[])
{
printf("TestDebug1.cpp");
return0;
}
编译之后，将Release目录下的TestDebug1.pdb剪切到其他目录下(如果没有这样做，由于编译出来的程序中包含了符号文件路径，调试器可以直接使用exe中的信息找到pdb文件，而不需要设置路径)。在map文件中可以看到像下面这样的内容：
0001:00000000_main00401000fTestDebug1.obj
说明main函数位于401000地址处。
通过WinDbg的File->OpenExecuteable菜单打开TestDebug1.exe，可以在调试器命令窗口中看到下面的内容：
可以看到，调试器自动中断下来的位置并不是程序入口点，这是由WinDbg实现造成的，这里先不管它。
调试器命令窗口中可以看到，我们还没有设置符号路径，所以WinDbg目前还找不到TestDebug1.exe的任何符号文件。如果想在main函数下断，这时就不能使用符号，而只能直接使用main的地址。
使用命令bp00401000在main函数设置断点，然后F5执行就可以中断到main的入口处了。断点设置和基本操作我们将在后面介绍。可以在反汇编窗口中看到这样的内容：
由于没有加载任何符号，所以我们看到的都是一堆反汇编代码和地址。在上一篇中已经介绍过，WinDbg不像OllyDbg这些调试器一样拥有强大的反汇编分析能力，所以仅仅靠这些看起来一团乱麻的反汇编代码，调试工作是很难开展下去的。
符号路径的设置
要想在WinDbg中看到程序中的符号，必须通过命令或者WinDbg菜单设置符号路径。如果还设置了Microsoft公共符号存储的话，我们不但能够看到自己程序中的符号，还能够看到Windows平台代码中的符号，这对于调试会提供很好的帮助。
所谓符号路径，就是包含了程序符号信息的符号文件所在的目录路径。通常我们接触到的符号文件都是以pdb作为后缀名的。TestDebug1.exe项目如果在项目设置的Link选项中选中了生成调试信息的话(如上图中的Generatedebuginfo)，那么可以在Debug或者Release目录中找到它的符号文件TestDebug1.pdb。
我们通过WinDbg的File->SymbolFilePath…菜单，或者命令.sympath设置符号路径为TestDebug1.pdb所在的目录。例如刚才我把生成的pdb文件移动到桌面上了，所以在我的机器上就设置为：
完成之后在命令窗口输入.reload命令，我们可以看到反汇编窗口的内容发生改变：
这里就已经可以看到TestDebug1.exe中的函数、变量名这样的符号了。而我们也可以通过bpmain这样的命令直接使用符号来操作调试器。
另外，在Local、Watch等窗口中也可以直接使用符号名查看到变量的值、在CallStack窗口中可以看到函数名，等等。
源码路径的设置
通过上面的设置，我们可以对程序进行符号化调试。如果拥有程序的代码，还可以通过设置源码路径来进行源码级调试。
继续上面的工作，我们通过WinDbg的File->SourceFilePath…菜单或者.srcpath命令设置源代码保存的路径，比如我的机器上是这样：
确定之后，如果当前指令指针在源文件的代码范围内，就会自动跳出源文件窗口。如果没有跳出，那么可以通过File->OpenSourceFile…菜单手动打开源文件。由于刚才设置的断点还没有删除，所以在源码窗口也能口看到设断的行被高亮了
之后就基本上可以完全通过源码窗口进行设置断点、查看变量、跟踪代码等操作。比只有符号的时候方便了很多。
可执行映像路径的设置
可执行映像路径一般在调试dump文件时才用得上。需要将这个路径设置成要调试的exe、dll、sys等可执行文件的路径。可以通过File->ImageFilePath…菜单或者.exepath命令设置。
使用微软公共符号存储
除了使用自己程序的符号之外，调试时还可以使用微软提供的Windows系统代码的符号。这需要修改一下我们设置的符号路径。最方便的办法是使用.symfix命令。
现在我们来看一下kernel32.dll中的代码，在反汇编窗口的Offset栏中填入kernel32!OpenProcess，在我的机器上代码如下：
注意位于764e8ccf处的那个call，现在只能看到调用了kernel32某个偏移处的地址。
使用命令.symfix+d:\Symbols命令，注意加号要紧靠前面的文本。d:\Symbols是用来保存下载的符号文件的目录，可以修改成自己需要的路径。再来打开符号路径窗口，我们可以看到调试器自动添加了一些内容：
自己在源码路径中加入这些新的内容也可以实现相同的效果。详细的原理请参考WinDbg帮助文档关于符号服务器设置的部分内容。
接下来再次使用.reload命令重新加载符号，第一次使用到的符号文件会从网上自动下载下来，所以可能有时候会等待一会。完成之后，可以看到反汇编窗口中出现了新的符号内容：
764e8cd8处指令中可以看到这是调用了kernel32导入的函数NtOpenProcess。
微软提供的Windows符号是我们研究Windows实现的必备利器。首先，符号化的名字有助于调试过程中的记忆和对各种信息的识别；其次，通过名字就常常可以猜测出来函数或变量的作用，很大的方便调试。在各种调试应用中，都强烈建议添加微软公共符号的引用。
设置环境变量
上面介绍的各种路径都可以通过环境变量来进行设置。将一些常用的路径保存在环境变量中，就可以避免每次在新的工作空间中进行调试时都要重新设置的麻烦。另外，VisualStudio2008也共享一些环境变量的设置，这样在使用IDE调试的时候也能方便的查看到各种符号了。常用的有下面几个：
环境变量作用
_NT_SOURCE_PATH=Path指定包含调试目标的源代码的路径。Path可以包含后跟一个冒号(:)的驱动器符。用分号分隔多个目录(;)。
_NT_SYMBOL_PATH=Path指定包含符号文件的目录树的根目录。Path可以包含后跟一个冒号(:)的驱动器符。用分号分隔多个目录(;)。
_NT_EXECUTABLE_IMAGE_PATH=Path指定包含二进制可执行文件的路径。Path可以包含后跟一个冒号(:)的驱动器符。用分号分隔多个目录(;)。
_NT_DEBUG_LOG_FILE_OPEN=Filename(仅CDB和KD)指定调试器用来记录输出的日志文件。
_NT_DEBUG_LOG_FILE_APPEND=Filename(仅CDB和KD)指定调试器用来添加输出的日志文件。新的内容每次会添加到这个文件末尾，而不是覆盖整个文件。
如果设置了符号路径的环境变量的话，可能在初期使用VS2008调试MFC这样的有较多导入库的程序时会下载很多符号文件，使得启动调试的速度变慢。不过经过一段时间，大部分需要的符号都缓存到本地之后速度就会快起来。
二、配置日志文件
进行调试时，有时候调试器命令窗口会变得很杂乱，所以常常想用.cls命令清空它。但是这样会无法再看到之前调试过程中输出的结果。另外，有时候想保存下整个调试过程的详细记录以备后面“回味”。这时，就需要用到日志文件了。可以将调试器命令窗口中出现过的所有内容都自动记录到日志文件中。
创建日志文件：
•(仅CDB和KD)启动调试器之前，设置_NT_DEBUG_LOG_FILE_OPEN环境变量。
•启动调试器时，使用-logo命令行选项。如-logod:\logs\mylogfile.txt
•使用.logopen命令。如.logopen/td:\logs\mylogfile.txt
•(仅WinDbg)使用Edit->Open/CloseLogFile菜单命令。
将日志添加到已有的文件末尾：
•(仅CDB和KD)启动调试器之前，设置_NT_DEBUG_LOG_FILE_APPEND环境变量。
•启动调试器时，使用-loga命令行选项。如-logad:\logs\mylogfile.txt
•使用.logappend命令。如.logappend/td:\logs\mylogfile.txt
•(仅WinDbg)使用Edit->Open/CloseLogFile菜单命令，然后选择Append。
关闭日志文件：
•使用.logclose命令
•(仅WinDbg)使用Edit->Open/CloseLogFile菜单命令，然后选择CloSEOpenLogFile。
五、设置工作空间工作空间(Workspace)是用来保存WinDbg中工作环境的工具。例如习惯的窗口布局方式、符号路径、异常处理的设置等等，都可以通过工作空间保存下来，在下次调试的时候就不用再次设置了。相关的设置都可以通过WinDbg菜单来完成，有下面几个：OpenWorkspace：这里只能打开自己通过SaveAs保存的工作空间。SaveWorkspace：按默认的方式保存当前的工作空间。下次再打开相同的调试目标时，就会自动打开这个Workspace。SaveWorkspaceAs：可以自己设置工作空间的名字，这样就能通过OpenWorkspace来手动打开。ClearWorkspace：可以选择保存工作空间时要保存哪些设置。DeleteWorkspace：删除当前保存的工作空间。这里可以查看到所有默认保存和另存为的工作空间，用来进行清理是很方便的。SaveWorlspaceinFile和OpenWorkspaceinFile：将工作空间保存到文件或者从文件打开。可以把自己的工作空间保存下来，这样通过U盘之类的就能在多台机器之间方便的使用相同的设置了。在没有调试目标的时候调整WinDbg的窗口布局等等设置的话，会保存为默认的工作空间。下一次打开新目标的时候，就会使用这个设置。通常我们可以设定一个默认的工作空间，然后为各个单独的任务保存另外的设置。
