如何对win7 进行系统内核调试

windbg的设置与XP一答戚样

在WIN7或者Vista里的设置清哪陵为缓卜：

在以管理员身份运行的 cmd 下键入并执行命令：（每行一条命令）

1

2

3

bcdedit /bootdebug ON

bcdedit /debug ON

bcdedit /dbgsettings serial baudrate:115200 debugport:1bcdedit /copy {current} /d DebugEntrybcdedit /displayorder {current} {d3d5f290-f64b-11de-a86d-aba3805c5629}bcdedit /debug {d3d5f290-f64b-11de-a86d-aba3805c5629} ON

内核模式 *** 作的一种高特权模式，其中的程序代码能直接访问所有内存（包括所有的用户模式进程和应用程序的地址空间）和硬件。也称为“管理员模式”、“告旦顷保护模式”或“Ring 0”。 如果再细致地对此进行分类：它又可以被分为单内核模式和微内核模式两种。单内核模式代码结构紧凑、执行速度快，但是缺乏层次；微内核正好相反。单内核模式的代表如Linux；微内核模式的代表如Windows用户模式与内核模式是如何交互的呢当用户模式程序需要读取设备数据时，它就调用Win32 API函数，如ReadFile。Win32子系统模块(如KERNEL32.DLL)通过调用平台相关的系统服务接口实现该API，而平台相关的系统服务将调用内核模式支持例程。在ReadFile调用中，调用首先到达系统DLL(NTDLL.DLL)中的一个入口点，NtReadFile函数。然后这个用户模式的NtReadFile函数接着调用系迟纯统服务接口，最后由系统服务接口调用内核模式中的服务例程，该例程同样名为NtReadFile。系统中还有许多与NtReadFile相似的服务例程，它们同样运行在内核模式中，为应用程序请求提供服务，并以某种方式与设备交互。它们首先检查传递给它们的参数以保护系统安全或防止用户模式程序非法存取数据，然后创建一个称为“I/O请求包(IRP)”的数据结构，并把这个数据结构送到某个驱动程序的入口点。在刚才的ReadFile调用中，NtReadFile将创建一个主功能代码为IRP_MJ_READ(DDK头文袜陆件中的一个常量)的IRP。实际的处理细节可能会有不同，但对于NtReadFile例程，可能的结果是，用户模式调用者得到一个返回值，表明该IRP代表的 *** 作还没有完成。用户模式程序也许会继续其它工作然后等待 *** 作完成，或者立即进入等待状态。不论哪种方式，设备驱动程序对该IRP的处理都与应用程序无关。驱动程序完成一个I/O *** 作后，通过调用一个特殊的内核模式服务例程来完成该IRP。完成 *** 作是处理IRP的最后动作，它使等待的应用程序恢复运行。

---