我正在尝试利用虚拟化进行一些深层次的 Windows 调试/跟踪。
考虑到如果 Windows 在虚拟机中运行,理论上我对它拥有全部权力——我可以更改它的内核/用户空间数据结构、跟踪它、修改它等等。不需要它的协同性。
我最喜欢的虚拟化软件是 qemu,但如果我能做到的话,什么都可以。
但是,我需要一些软件支持来完成这项任务。我需要一些东西,什么可以与虚拟机交互,最理想的是,一些支持来跟踪它的内存内容,找到进程并跟踪它们在做什么。
任务是否存在任何东西?
我正在尝试利用虚拟化进行一些深层次的 Windows 调试/跟踪。
考虑到如果 Windows 在虚拟机中运行,理论上我对它拥有全部权力——我可以更改它的内核/用户空间数据结构、跟踪它、修改它等等。不需要它的协同性。
我最喜欢的虚拟化软件是 qemu,但如果我能做到的话,什么都可以。
但是,我需要一些软件支持来完成这项任务。我需要一些东西,什么可以与虚拟机交互,最理想的是,一些支持来跟踪它的内存内容,找到进程并跟踪它们在做什么。
任务是否存在任何东西?
这称为虚拟机内省(VMI),虽然绝对可能,但需要您实现内部 OS 结构的解析以隔离各个进程、模块等,而不是依赖于内置的 OS 支持(例如 WinDbg 内核调试器使用的) )。
您可以查看如何通过 VMWare 的 GDB 协议使用 IDA 来完成的示例(免责声明:我写的帖子):
我不知道有任何开箱即用的活动项目支持它,但您可能可以从 Volatility 或MemProcFS 之类的东西开始。