Windbg - Local Kernel Debug 모드
windbg 가지고 실습을 하는데, 일단 notepad.exe 켜고 디버거를 붙였습니다. 그리고는 책에 나온 대로 "!process" 명령을 실행하는데, ^^; 처음부터 막히는군요. 다음과 같이 오류가 발생합니다.
0:002> !process
No export process found
너무 일반적인 단어들로 이뤄진 오류 메시지라서, 원인을 찾기 힘들었는데요. 다음의 글에서 ^^ 설명을 볼 수 있습니다.
Windbg:how can I load a process from LKD? - Sysinternals Forums
; http://84.45.57.224/windbghow-can-i-load-a-process-from-lkd_topic868_post2547.html
그러니까, "!process" 명령어가 실행되려면 커널 모드로 진입된 상태여야 한다고 합니다. 그래서, 커널 모드로 BP 상태를 진행시키기 위해 ".attach -k" 명령을 내리고 "g" 명령을 연이어 해주면 해결됩니다.
.attach -k
Attach will occur on next execution
||0:0:002> g
Connected to Windows 7 7600 x64 target at (Sun Oct 10 20:07:28.437 2010 (GMT+9)), ptr64 TRUE
Symbol search path is: ...[생략]...
Executable search path is:
Windows 7 Kernel Version 7600 MP (8 procs) Free x64
Product: ...
Built by: ...
Machine Name:
Kernel base = 0xfffff800`03053000 PsLoadedModuleList = 0xfffff800`03290e50
Debug session time: Sun Oct 10 20:07:38.156 2010 (GMT+9)
System Uptime: 0 days 0:10:16.280
자... ^^ 이제 커널로 진입한 상태이기 때문에 정상적으로 "!process" 명령이 통하게 됩니다.
||1:lkd> !process
PROCESS fffffa800761fb30
SessionId: 1 Cid: 0dd4 Peb: 7fffffd5000 ParentCid: 0878
DirBase: 7a1d3000 ObjectTable: fffff8a004701480 HandleCount: 317.
Image: notepad.exe
VadRoot fffffa80070a16a0 Vads 168 Clone 0 Private 6805. Modified 2840. Locked 1.
DeviceMap fffff8a002ce0700
Token fffff8a004ff84d0
ElapsedTime 00:10:43.548
UserTime 00:00:00.000
KernelTime 00:00:00.000
QuotaPoolUsage[PagedPool] 0
QuotaPoolUsage[NonPagedPool] 0
Working Set Sizes (now,min,max) (10622, 50, 345) (42488KB, 200KB, 1380KB)
PeakWorkingSetSize 10626
VirtualSize 155 Mb
PeakVirtualSize 155 Mb
PageFaultCount 14688
MemoryPriority BACKGROUND
BasePriority 13
CommitCharge 7422
... [생략] ...
참고로, ".attach -k" 명령은 윈도우가 "-debug on" 모드로 부팅되어야 합니다. 그래서, Vista 이상의 운영체제에서는 미리 관리자 권한의 명령행에서 "bcdedit -debug on" 실행하고 재부팅해야 합니다. 또한, WOW64 지원을 하지 못하므로 64비트에서 32비트 응용 프로그램을 대상으로는 ".attach -k" 명령어가 동작하지 않습니다. 만약, 이런 제약이 걸리는 상황에서 ".attach -k" 명령을 내리면 다음과 같이 친절하게 오류 메시지를 출력해 줍니다. ^^
0:014> .attach -k
The system does not support local kernel debugging.
Local kernel debugging requires Windows XP, Administrative privileges.
Local kernel debugging dose not support WOW64, please run local kernel debugging from 64-bit native debugger.
Only a single local kernel debugging session can run at a time.
Local kernel debugging is disabled by default since Windows Vista, you must run "bcdedit -debug on" and reboot to enable it.
Unable to initialize target, HRESULT 0x80004001
또는 메뉴를 통해 "Attach to kernel"를 선택했다면 이런 오류가 발생합니다.
The debugging session could not be started: FAILURE HR=0x80004001: Failed to AttachKernel
특정 프로세스에 attach 시킨 후에 커널 모드로 진입하는 경우에는 위와 같은 방법을 사용해야 하지만, Windbg 실행 후 처음부터 커널 모드로 진입하는 간단한 방법도 있습니다.
아래와 같이 "File" / "Kernel Debug..."를 선택하고,
"Local" 탭을 선택 후 "OK" 버튼을 누르면 됩니다.
그럼, Windbg 명령창의 프롬프트가 "lkd>"라고 "local kernel debugging" 상태임을 확인할 수 있습니다. ^^
LKD 기능은 Windows XP 이상의 운영체제에서 제공되는데, Windows 2000을 실습 대상으로 설명하는 책에서는 당연히 windbg로 테스트 할 때 2대 이상의 PC에서 하는 것을 전제로 하기 때문에 "No export process found"와 같은 오류가 발생할 일이 없어서 그와 관련된 설명이 없었던 것입니다.
끝으로 중요한 점 하나!
LKD를 활성화하기 위해 "bcdedit -debug on" 모드로 부팅되고 나면, Visual Studio에서 ".NET 응용 프로그램(Managed App)"들에 대해서 디버깅이 불가능해집니다.
(2025-02-22 업데이트) "bcdedit -debug on" 명령어에서 이런 오류가 발생할 수 있습니다.
C:\Windows\System32> bcdedit -debug on
디버거 설정을 수정하는 동안 오류가 발생했습니다.
값은 보안 부팅 정책에 의해 보호되며 수정 또는 삭제할 수 없습니다.
An error has occurred setting the element data.
The value is protected by Secure Boot policy and cannot be modified or deleted.
한글 오류 메시지에는 나오지 않지만, 영문 오류 메시지에서는 유추할 수 있듯이 BIOS 또는 VM 설정창의 "
Secure Boot"을 해제하면 됩니다.
[이 토픽에 대해서 여러분들과 의견을 공유하고 싶습니다. 틀리거나 미흡한 부분 또는 의문 사항이 있으시면 언제든 댓글 남겨주십시오.]