Win7登录内核解密：Winlogon调试实录

Winlogon.exe调试记录分析（Windows 7环境）

Windows 7系统中的winlogon.exe是负责用户登录、注销及安全相关操作的核心进程。通过调试该进程，可以深入理解Windows身份验证机制、GINA/LSA交互流程以及相关安全事件的触发逻辑。

---

调试环境配置

准备Windows 7虚拟机（建议使用SP1版本），并安装调试工具链：

• WinDbg（需配置符号路径）
• Process Monitor
• IDA Pro或x64dbg（可选）

符号路径配置示例（WinDbg）：

.sympath srv*https://msdl.microsoft.com/download/symbols
.reload

---

Winlogon.exe关键断点设置

通过WinDbg附加到winlogon.exe进程（PID需通过任务管理器获取），设置以下关键断点：

// 拦截GINA交互
bp winlogon!WlxLoggedOutSAS "du poi(esp+4); g"

// 拦截LSA认证请求
bp advapi32!LsaLogonUser ".printf \"[LSA] SID: %mu\\n\", poi(esp+0x10); g"

// 拦截密码验证流程
bp msv1_0!MsvpPasswordValidate "kb; .echo [Password Validation]; g"

---

登录过程调试记录分析

调试登录