windows - 调试 WFP 标注驱动程序的选项有哪些

Question

我是内核模式 Windows 驱动程序开发的新手，在从 WFP 标注示例中获取调试信息时遇到问题。我正在寻找更多选项或关于我一直在尝试的选项做错了什么的提示。

首先，我下载了 WFP sampler并按照其描述中的说明进行操作。我正在使用通过模拟串行电缆连接的 Windows 8.1 x64 主机和 Windows 7 x64 目标。它们都是 VirtualBox VM。

我调试的主要命令是

WFPSampler.Exe -s PROXY -l FWPM_LAYER_ALE_BIND_REDIRECT_V4 -aaid "C:\Program Files (x86)\Internet Explorer\iexplore.exe" -pla 10.0.2.15 -v

其中 10.0.2.15 是不同网络接口(interface)的 IP 地址，而不是路由表的最终流量。我还按照说明的建议使用了以下检查命令:

WFPSampler.exe -s BASIC_PACKET_EXAMINATION -l FWPM_LAYER_INBOUND_IPPACKET_V4 -v

“netsh wfp show state”显示与预期层关联的标注和过滤器

但是，按照这些说明的最后步骤，我从未从 traceview 收到任何消息。 Tracelog 也有类似的输出缺失。无论是否在驱动程序项目上启用 WPP 跟踪，情况都是如此。我还尝试了更高的详细程度，但都没有效果。

此外，visual studio 中的远程调试器停止在“驱动程序安装后操作 (x64)(可能重新启动):通过”或“等待重新连接...”，重新启动目标不会导致调试器即时窗口中出现更多输出(输出窗口从未得到任何输出)。重新启动目标 VM 没有得到任何异常提示(我读到的一些内容暗示它应该)。设置调试器时的重新连接复选框有时会导致它越过“等待重新连接...”提示，其他时候则不需要。我设置了一些应该命中的断点，包括每个分类函数顶部的一个断点，但没有一个被命中。

我尝试使用 WinDbg 进行调试，但老实说，我找不到有关如何使用此工具的文档。我在目标机器上启动它并选择本地内核调试。然后我得到一个提示，告诉我符号搜索路径无效并且不知道我应该将其设置为什么。如果它能让我调试这些标注驱动程序，那么任何关于如何使用此工具而不是仅仅安装它的文档都可能会有所帮助。

当然，最后我尝试仅根据症状对其进行调试，我发现检查标注据我所知没有任何作用，而代理标注只是吃掉来自目标应用程序的所有流量，但有一个警告。需要注意的是，当我使用代理标注定位 firefox 或 chrome 并尝试启动该应用程序时，它无法启动 UI，并且无法从任务管理器中终止部分启动的进程。

我假设该行为可能是示例未能检查 FwpsQueryPacketInjectionState 的结果，但我认为应该使用的尽我所能修改似乎不会改变行为。

所以简而言之，我被卡住了，需要指导吗？

Answer 1

我开始尝试使用 WFPSampler 并发现跟踪不起作用。奇怪的是，有很多额外的代码可以使 WPP 跟踪在多个操作系统上工作，但该示例没有捕获任何跟踪事件。所以我调试了它，发现对 nt!WmiTraceMessage 的调用总是传递 2 作为 TRACE_HANDLE。这看起来很糟糕。可以肯定地说，解读 WPP 宏然后最终在 .vcxprog 文件中找到来源并不是完全直接的。 WPP_COMPID_LEVEL_LOGGER(COMPID,LEVEL)=2 的定义不正确。当我在那里时，我还通过添加 2 将 DbgPrintEx 级别转换为与 Tace_Level 匹配，以便错误/警告与模型匹配。

为 SysLib/WFPSampler 和 Sys/WFPSamplerCalloutDriver 完成以下步骤

1. 打开项目
2. 右键单击 WFPSamplerCalloutDriver
3. 卸载项目
4. 右键单击 WFPSamplerCalloutDriver
5. 编辑 WFPSamplerCalloutDriver.vcxproj

6. 类型:WppPreprorpocessorDefinitions

7. 在文件的两个地方更改此定义:

收件人:

<WppTraceFunction>DbgPrintEx(COMPID,LEVEL,MSG,...)</WppTraceFunction
<WppPreprocessorDefinitions>WPP_COMPID_LEVEL_LOGGER(COMPID,lvl)=(WPP_CONTROL(0).Logger),;WPP_COMPID_LEVEL_ENABLED(COMPID,lvl)=(WPP_CONTROL(0).Level >= lvl+2)</WppPreprocessorDefinitions>

1. 保存文件
2. 右键单击 WFPSamplerCalloutDriver
3. 点击重新加载项目
4. 重建

我相信如果您采用这种使用 DbgPrintEx 作为跟踪功能的模型，您可以在不编辑整个项目的情况下切换到 WPP。但是，我仍然认为最好只在您的程序中进行转换。

干杯，

约翰