BIOS备忘录之通过Windbg来追踪ASL code的运行

通过Windbg来追踪ASL code的运行：

目标机的配置：

第一步：

在BIOS Setup下面 disable secure boot（不然下面debug on 命令会失败）；关闭防火墙。

第二步：替换acpi.sys
1. 获取与目标机OS 同版本的check build ACPI.sys文件，替换系统中的C:\Windows\System32\drivers\acpi.sys

2.acpi.sys属于系统文件，直接替换会出错，可以把下面的内容保存为：TrustedIntsaller.reg 并放到C盘根目录运行，找到ACPI.sys,右键点击TrustedInstaller,然后才可以删除,重命名,替换ACPI.sys.

Windows Registry Editor Version 5.00
 
[HKEY_CLASSES_ROOT\*\shell\runas]
@="TrustedInstaller"
"NoWorkingDirectory"=""
 
[HKEY_CLASSES_ROOT\*\shell\runas\command]
@="cmd.exe /c takeown /f \"%1\" && icacls \"%1\" /grant administrators:F"
"IsolatedCommand"="cmd.exe /c takeown /f \"%1\" && icacls \"%1\" /grant administrators:F"
 
[HKEY_CLASSES_ROOT\Directory\shell\runas]
@="TrustedInstaller"
"NoWorkingDirectory"=""
 
[HKEY_CLASSES_ROOT\Directory\shell\runas\command]
@="cmd.exe /c takeown /f \"%1\" /r /d y && icacls \"%1\" /grant administrators:F /t"
"IsolatedCommand"="cmd.exe /c takeown /f \"%1\" /r /d y && icacls \"%1\" /grant administrators:F /t"

第三步：运行下面的命令：

bcdedit /debug on
bcdedit /set testsigning on
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Debug Print Filter"
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Debug Print Filter" /v AMLI /t REG_DWORD /d 0xFFFFFFFF /f>nul
pause

第四步：选择debug方式：USB3.0 或 网口

网口方式：

bcdedit /debug on
bcdedit /dbgsettings net hostip: key:1.2.3.4
pause

USB3.0方式：

bcdedit /debug on
bcdedit /dbgsettings usb targetname:XX
pause

注：网口可以一对多debug，通过port的不一样；USB只能一对一连接；
注：也可以通过这样的的方式来配置debug方式：Windows+R -> MSConfig - boot - advanced options（但是要先把debug on打开）

第五步：重启电脑:，如果进不去OS，可通过下面两种方法解决：

1.可能系统时间不在acpi.sys的有效签名时间之内 -- 进入BIOS setup把系统时间修改为acpi.sys的有效签名时间之内；

2.进入OS的Advance option选项，选择disable driver 数字签名，再进OS。

主机的配置：

运行WinDbg Tool：

安装好SDK之后，tool位于：

C:\Program Files (x86)\Windows Kits\10\Debuggers\x64\windbg.exe

1. 选择 file - symbol file path，输入 SRV*D:\Symbols* http://msdl.microsoft.com/download/symbols。D:\Symbols是本地存放symbol的路径

2. 选择 file - kernel debug --- 选择 net 或者 USB3.0的debug方式。

如果成功，这时就能连上目标机器。重启目标机，可以看到有信息丢出来。

如果要debug ASL code

暂停目标机，依次输入：

.reload /f /v acpi.sys
!amli debugger
!amli set verboseon
!amli set traceon
!amli set nesttraceon
!amli set spewon

输完之后，敲g -> enter 进入amli debuge 模式了，进入amli debuge windebug会有这样的“AMLI(? for help)->”提示。

最后，通过 Edit->write windows text to file 可以去保存记录。

最新的OS不需要再去替换acpi.sys以及运行debug on的操作了