忘记了 Windows 密码时可以通过调试方式启动系统，连上内核调试器，在登陆界面处输入下面的命令：

kd> !process 0 0 lsass.exe
PROCESS 81378338 SessionId: 0 Cid: 01ac    Peb: 7ffd4000 ParentCid: 0174
    DirBase: 0acf9000 ObjectTable: e12dd2e8 HandleCount: 411.
    Image: lsass.exe

kd> .process /i 0x81378338
You need to continue execution (press 'g' <enter>) for the context
to be switched. When the debugger breaks in again, you will be in
the new process context.
kd> g
Break instruction exception - code 80000003 (first chance)
nt!RtlpBreakWithStatusInstruction:
8081d97e cc              int     3
kd> .reload
kd> ba e1 msv1_0!MsvpPasswordValidate "g @$ra; r @al = 0x1; g"
kd> g

然后用任意密码就可以登陆系统，某些时候很有用。

如果没有设置调试启动项的，在启动时按 F8 键选择调试模式，Window 会缺省使用 COM2 端口，19200 波特率启动系统。Vista 系统上如果有 1394 口，会使用 1394 端口，缺省 channel 为 0。

修改后的 vmxpatch.dll 和之前的文件有这两个差异。

本文分析了 Vista 系统上 DbgPrint 函数的执行流程以及 DebugView 工具的原理。

DbgPrint函数流程分析.pdf

findstr 是 Windows 自带的一个实用程序，用来查找文件中的字符串，支持正则表达式。

命令行如下：

FINDSTR [/B] [/E] [/L] [/R] [/S] [/I] [/X] [/V] [/N] [/M] [/O] [/F:file]
        [/C:string] [/G:file] [/D:dir list] [/A:color attributes] [/OFF[LINE]
        strings [[drive:][path]filename[ ...]]

/B        在一行的开始配对模式。
/E        在一行的结尾配对模式。
/L        按字使用搜索字符串。
/R        将搜索字符串作为一般表达式使用。
/S        在当前目录和所有子目录中搜索
              匹配文件。
/I         指定搜索不分大小写。
/X        打印完全匹配的行。
/V        只打印不包含匹配的行。
/N        在匹配的每行前打印行数。
/M        如果文件含有匹配项，只打印其文件名。
/O        在每个匹配行前打印字符偏移量。
/P        忽略有不可打印字符的文件。
/OFF[LINE] 不跳过带有脱机属性集的文件。
/A:attr   指定有十六进位数字的颜色属性。请见 "color /?"
/F:file   从指定文件读文件列表 (/ 代表控制台)。
/C:string 使用指定字符串作为文字搜索字符串。
/G:file   从指定的文件获得搜索字符串。 (/ 代表控制台)。
/D:dir    查找以分号为分隔符的目录列表
strings   要查找的文字。
[drive:][path]filename
            指定要查找的文件。

除非参数有 /C 前缀，请使用空格隔开搜索字符串。
例如: 'FINDSTR "hello there" x.y' 在文件 x.y 中寻找 "hello" 或
"there" 。 'FINDSTR /C:"hello there" x.y' 文件 x.y 寻找
"hello there"。

一般表达式的快速参考:
.        通配符: 任何字符
*        重复: 以前字符或类别出现零或零以上次数
^        行位置: 行的开始
$        行位置: 行的终点
[class] 字符类别: 任何在字符集中的字符
[^class] 补字符类别: 任何不在字符集中的字符
[x-y]    范围: 在指定范围内的任何字符
\x       Escape: 元字符 x 的文字用法
\<xyz    字位置: 字的开始
xyz\>    字位置: 字的结束

和其它工具结合起来使用时比较方便，下面的命令演示了结合 dumpbin 工具查找 ntdll.dll 导出表中所有和 port 相关的函数。

d:\>dumpbin /exports c:\WINDOWS\system32\ntdll.dll | findstr /i port
Section contains the following exports for ntdll.dll
         86   4E 0000D379 NtAcceptConnectPort = _NtAcceptConnectPort@24
        115   6B 0000D5DA NtCompleteConnectPort = _ZwCompleteConnectPort@4
        117   6D 0000D604 NtConnectPort = _NtConnectPort@32
        133   7D 0000D73F NtCreatePort = _NtCreatePort@20
        143   87 0000D811 NtCreateWaitablePort = _ZwCreateWaitablePort@20
        178   AA 0000DADB NtImpersonateClientOfPort = _ZwImpersonateClientOfPort@8
        184   B0 0000DB59 NtListenPort = _NtListenPort@8
        242   EA 0000E006 NtQueryInformationPort = _ZwQueryInformationPort@20
        255   F7 0000EAB0 NtQueryPortInformationProcess = _ZwQueryPortInformationProcess@0
        277 10D 0000E2D0 NtRegisterThreadTerminatePort = _NtRegisterThreadTerminatePort@4
        285 115 0000E363 NtReplyPort = _ZwReplyPort@8
        286 116 0000E378 NtReplyWaitReceivePort = _NtReplyWaitReceivePort@16
        287 117 0000E38D NtReplyWaitReceivePortEx = _ZwReplyWaitReceivePortEx@20
        288 118 0000E3A2 NtReplyWaitReplyPort = _NtReplyWaitReplyPort@8
        290 11A 0000E3CC NtRequestPort = _NtRequestPort@8
        291 11B 0000E3E1 NtRequestWaitReplyPort = _NtRequestWaitReplyPort@12
        301 125 0000E4B3 NtSecureConnectPort = _ZwSecureConnectPort@36
        306 12A 0000E51C NtSetDefaultHardErrorPort = _NtSetDefaultHardErrorPort@4
        442 1B3 00058037 RtlComputeImportTableHash = _RtlComputeImportTableHash@12
        896 37F 0000D379 ZwAcceptConnectPort = _NtAcceptConnectPort@24
        925 39C 0000D5DA ZwCompleteConnectPort = _ZwCompleteConnectPort@4
        927 39E 0000D604 ZwConnectPort = _NtConnectPort@32
        943 3AE 0000D73F ZwCreatePort = _NtCreatePort@20
        953 3B8 0000D811 ZwCreateWaitablePort = _ZwCreateWaitablePort@20
        987 3DA 0000DADB ZwImpersonateClientOfPort = _ZwImpersonateClientOfPort@8
        993 3E0 0000DB59 ZwListenPort = _NtListenPort@8
       1051 41A 0000E006 ZwQueryInformationPort = _ZwQueryInformationPort@20
       1064 427 0000EAB0 ZwQueryPortInformationProcess = _ZwQueryPortInformationProcess@0
       1086 43D 0000E2D0 ZwRegisterThreadTerminatePort = _NtRegisterThreadTerminatePort@4
       1094 445 0000E363 ZwReplyPort = _ZwReplyPort@8
       1095 446 0000E378 ZwReplyWaitReceivePort = _NtReplyWaitReceivePort@16
       1096 447 0000E38D ZwReplyWaitReceivePortEx = _ZwReplyWaitReceivePortEx@20
       1097 448 0000E3A2 ZwReplyWaitReplyPort = _NtReplyWaitReplyPort@8
       1099 44A 0000E3CC ZwRequestPort = _NtRequestPort@8
       1100 44B 0000E3E1 ZwRequestWaitReplyPort = _NtRequestWaitReplyPort@12
       1110 455 0000E4B3 ZwSecureConnectPort = _ZwSecureConnectPort@36
       1115 45A 0000E51C ZwSetDefaultHardErrorPort = _NtSetDefaultHardErrorPort@4

WinDbg + VMWare 可以双机调试内核，但 VMWare 本身提供的虚拟串口方式调试速度很慢，而且调试时占用 CPU 100%，用起来还是不够爽。

Skywing 最近在网站上发布了一个工具 vmkd（http://www.nynaeve.net/?page_id=168 ）可以解决上面的问题，而且还写了一系列文章说明实现原理（http://www.nynaeve.net/?p=174）。

我试用了一下，感觉非常好用，介绍给大家，呵呵！

安装步骤：

1. 安装 VMware Server 1.0.4，在 vmware 网站上可以免费下载注册。
2. 在虚拟机中安装好系统，并设置好串口调试。
3. 把 vmkd 中的 kdvmware.sys 复制到虚拟机中，sc create kdvmware start= demand type= kernel binPath= c:\windows\system32\drivers\kdvmware.sys DisplayName= kdvmware 安装驱动。
4. 通过第二步设置好的调试方式启动系统。
5. 找到启动虚拟机的 vmware-vmx.exe 进程的 pid，利用 vmxinject.exe pid 命令把 vmxpatch.dll 注入到 vmware-vmx.exe 进程。
6. 在虚拟机中通过 net start kdvmware 启动驱动。
7. 在 WinDbg 中通过 \\.\pipe\kdvmware_winxp 连接虚拟机中的系统开始调试，管道名字中的 winxp 是虚拟机系统的安装文件夹（比如：d:\VM\winxp）。

连接上去后试试 .dump /f 命令，速度很快，完全不用理会“非常非常慢，需要一个小时”的提示。:)

NtCreateProcess / NtCreateProcessEx / PspCreateProcess / MmCreatePeb / MiCreatePebOrTeb

在MiCreatePebOrTeb函数中根据当前时间计算随机值：

        PVOID HighestVadAddress;

        LARGE_INTEGER CurrentTime;

        HighestVadAddress = (PVOID) ((PCHAR)MM_HIGHEST_VAD_ADDRESS + 1);

        KeQueryTickCount (&CurrentTime);

        CurrentTime.LowPart &= ((X64K >> PAGE_SHIFT) - 1);

        if (CurrentTime.LowPart <= 1) {

            CurrentTime.LowPart = 2;

        }

        HighestVadAddress = (PVOID) ((PCHAR)HighestVadAddress - (CurrentTime.LowPart << PAGE_SHIFT));

所以在XPSP2系统以后不能认为PEB就处在0x7FFDF000处，不同的进程PEB地址会不一样。

如果是本进程，可以通过下面的指令取得，

mov eax,fs:[0x18]

mov eax,dword ptr [eax+0x30]

先取得TEB的地址，再取得PEB的地址。

如果要取得其它进程的PEB地址，可以通过NtQueryInformationProcess函数实现。

NtQueryInformationProcess(...)

{

    ......

    case ProcessBasicInformation:

        BasicInfo.ExitStatus = Process->ExitStatus;

        BasicInfo.PebBaseAddress = Process->Peb;

        BasicInfo.AffinityMask = Process->Pcb.Affinity;

        BasicInfo.BasePriority = Process->Pcb.BasePriority;

        BasicInfo.UniqueProcessId = (ULONG_PTR)Process->UniqueProcessId;

        BasicInfo.InheritedFromUniqueProcessId = (ULONG_PTR)Process->InheritedFromUniqueProcessId;

    ......

}

ULONG CEnumPebDlg::GetPebAddress(ULONG ulPID)

{

    HANDLE                      hProcess = NULL;

    ULONG                       ulPebAddr = 0;

    PROCESS_BASIC_INFORMATION   pbi = {0};

    ULONG                       dwReturnLength = 0;

    hProcess = OpenProcess(PROCESS_QUERY_INFORMATION, FALSE, ulPID);

    if(hProcess != NULL)

    {

        if(g_lpNtQueryInformationProcess(hProcess,

                                         ProcessBasicInformation,

                                         &pbi,

                                         sizeof(PROCESS_BASIC_INFORMATION),

                                         &dwReturnLength) == 0)

        {

            ulPebAddr = (ULONG)pbi.PebBaseAddress;

        }

        CloseHandle(hProcess);

    }

    return ulPebAddr;

}

lkd> !process 0n1984 0
Searching for Process with Cid == 7c0
PROCESS 85d97268 SessionId: 0 Cid: 07c0    Peb: 7ffdb000 ParentCid: 0788
    DirBase: 17fc00a0 ObjectTable: e12c9158 HandleCount: 466.
    Image: lsass.exe

lkd> dt nt!_KPROCESS Flags. 0x85d97268
   +0x06b Flags :
      +0x000 ExecuteDisable : 0y0
      +0x000 ExecuteEnable : 0y0
      +0x000 DisableThunkEmulation : 0y0
      +0x000 Permanent : 0y0
      +0x000 ExecuteDispatchEnable : 0y0
      +0x000 ImageDispatchEnable : 0y0
      +0x000 Spare : 0y00

lkd> !process 0n448 0
Searching for Process with Cid == 1c0
PROCESS 84f2c3b8 SessionId: 0 Cid: 01c0    Peb: 7ffdc000 ParentCid: 04a0
    DirBase: 17fc0480 ObjectTable: e44a91f0 HandleCount: 731.
    Image: QQ.exe

lkd> dt nt!_KPROCESS Flags. 0x84f2c3b8
   +0x06b Flags :
      +0x000 ExecuteDisable : 0y0
      +0x000 ExecuteEnable : 0y1
      +0x000 DisableThunkEmulation : 0y0
      +0x000 Permanent : 0y0
      +0x000 ExecuteDispatchEnable : 0y1
      +0x000 ImageDispatchEnable : 0y1
      +0x000 Spare : 0y00

通过编写驱动可以从内核中取出这些信息，从而判断进程是否打开了 DEP 保护。还可以直接修改这些值，切换进程的 DEP 状态。