|
#調(diào)試命令窗口
+++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++ #使用gflags.exe工具（在windbg所在目錄下）,，讓某個進程啟動時，拉取windbg進行調(diào)試 如下截圖：當名稱為captcomm.exe的進程啟動時,，拉起windbg調(diào)試
也可通過腳本命令來實現(xiàn)：  // 運行captcomm.exe時,，啟動windbg調(diào)試 reg add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\captcomm.exe" /v Debugger /t REG_SZ /d "C:\Program Files\Debugging Tools for Windows (x86)\windbg.exe" /f // 解除啟動時windbg調(diào)試 reg delete "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\captcomm.exe" /f // 64位系統(tǒng)上，也可以設(shè)置以下注冊表節(jié)點 reg add "HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\captcomm.exe" /v Debugger /t REG_SZ /d "C:\Program Files\Debugging Tools for Windows (x86)\windbg.exe" /f // 解除啟動時windbg調(diào)試 reg delete "HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\captcomm.exe" /f // 測試發(fā)現(xiàn)：HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options和HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Image File Execution Options指向的是同一數(shù)據(jù),，修改其中任何一個都可以
#重要說明 (1) windbg命令分為標準命令,，元命令和擴展命令。 標準命令提供最基本的調(diào)試功能,，不區(qū)分大小寫,。如：bp g dt dv k等 元命令提供標準命令沒有提供的功能，也內(nèi)建在調(diào)試引擎中,，以.開頭,。如.sympath .reload等 擴展命令用于擴展某一方面的調(diào)試功能，實現(xiàn)在動態(tài)加載的擴展模塊中,，以!開頭,。如!analyze等 (2) 進入調(diào)試狀態(tài)時，直接回車可重復(fù)執(zhí)行上一條命令,；按上下方向鍵可以瀏覽和選擇以前輸入過的命令 (3) 神奇的Tab鍵,，進行命令補全；ESC清除當前命令輸入框中的文本 (4) 選擇Command窗口中的內(nèi)容,，然后右擊進行復(fù)制 (5) 使用;作為分隔符,，可以在同一行輸入多條命令 (6) 上圖紅色框中的“0:000”。【0為當前調(diào)試會話的進程號,；000為調(diào)試會話的線程號】 (7) 當命令提示符顯示*BUSY*時,，即使命令輸入框可以輸入命令，但輸入的命令不會立即被執(zhí)行,，要等windbg空閑時才能執(zhí)行,。 可使用Ctrl + Break來終止一個長時間未完成的命令 (8) 一次可以執(zhí)行多條命令，命令間用分號;分隔 【如：bp main;bp `view.cpp:120`】,，一次打2個斷點 (9) 為了保證windbg流暢運行,，在調(diào)試時，盡量不要開啟Watch、Locals,、Registers,、Call Stack、Processes and Threads窗口,，直接用command來獲取信息 #啟動調(diào)試 windbg -I // 將windbg設(shè)置成默認調(diào)試器 windbg "notepad.exe" arguments // 使用windbg啟動調(diào)試notepad.exe windbg -p 4200 // 將windbg附加到一個正在運行的pid為4200的進程上 windbg -pn "notepad.exe" // 將windbg附加到一個正在運行的名為notepad.exe的進程上 windbg –z "c:\mydumpfile.dmp" // 調(diào)試mydumpfile.dmp文件 .opendump "c:\mydumpfile.dmp" // 調(diào)試mydumpfile.dmp文件 .attach 0n4220 // 4220為十進制pid,，使用該命令附加調(diào)試時，必須先存在一個調(diào)試會話 .detach // 分離調(diào)試 .restart // 重啟并調(diào)試 .kill // 強制結(jié)束當前調(diào)試 q // 結(jié)束當前調(diào)試會話,，回到基礎(chǔ)工作空間,，并結(jié)束調(diào)試進程 qd // 結(jié)束當前調(diào)試會話，回到基礎(chǔ)工作空間,，但不結(jié)束調(diào)試進程 #獲取幫助 // 打印出所有標準命令 .help // 打印出所有元命令 .hh // 打開windbg的chm幫助文件 .hh bp // 打開windbg的chm幫助文件bp命令介紹頁 command /? // 打印命令command具體參數(shù)用法 #注釋符 * // 注釋整行 $$ // 注釋（遇到分號結(jié)束） #配置調(diào)試環(huán)境 注：如果被調(diào)試的模塊（無論移動到本機的何處）是用本機代碼編譯產(chǎn)生的,，都不需要進行符號和源代碼的路徑設(shè)置 .sympath // 查看當前符號查找路徑 .sympath c:\symbols // 將符號查找路徑設(shè)為：c:\symbols .sympath+ c:\symbols // 將c:\symbols添加到符號查找路徑集合中 .symfix // 將符號查找路徑設(shè)為：SRV*WinDbg安裝目錄\Sym*http://msdl.microsoft.com/download/symbols .symfix f:\symbols // 將符號查找路徑設(shè)為：SRV*f:\symbols*http://msdl.microsoft.com/download/symbols .symfix+ f:\symbols // 將SRV*f:\symbols*http://msdl.microsoft.com/download/symbols添加到符號查找路徑集合中 .srcpath // 查看當前源文件查找路徑 .srcpath f:\src // 將源文件查找路徑設(shè)為：f:\src 注：必須勾選上菜單“Debug”-“Source Mode”；另外pdb須與exe,、dll等執(zhí)行模塊匹配上 .srcpath+ f:\src // 將f:\src添加到源文件查找路徑集合中 .exepath // 查看可執(zhí)行文件查找路徑 .exepath f:\bin // 將可執(zhí)行文件查找路徑設(shè)為：f:\bin .exepath+ f:\bin // 將f:\bin添加到可執(zhí)行文件查找路徑集合中 #系統(tǒng)信息 vertarget // os信息 !cpuid // cpu信息 #wow64模式 【x64版windbg調(diào)試win32程序】 .load wow64exts // [!load wow64exts] 加載wow64exts.dll模塊 注：!sw就是wow64exts中的命令 .unload wow64exts // [!unload wow64exts] 卸載wow64exts.dll模塊 .effmach // 查看當前調(diào)試mode：x86,、x64等 .effmach x86 // 切換到x86棧環(huán)境 注：需要先執(zhí)行.load wow64exts來加載wow64exts.dll模塊 .effmach . // 切換回x64 !sw // [!wow64exts.sw] 在多個mode：x86、x64上進行循環(huán)切換 注：如果win32程序在x64的mode下,，會看到地址是64位的 !k // [!wow64exts.k] 打印32位,、64位堆棧 !k 5 // [!wow64exts.k 5] 打印32位、64位堆棧,，棧幀個數(shù)為5 !info // [!wow64exts.info] 輸出wow64相關(guān)的PEB,、TEB和TLS基本信息 !r // [!wow64exts.r] 輸出處理器當前上下文信息 !r dumpTest!main // [!wow64exts.r dumpTest!main] 輸出main函數(shù)地址的上下文信息 #符號加載與查看 除了使用ld和.reload命令直接加載符號文件，某些使用符號的命令也可以觸發(fā)調(diào)試器來加載符號,，如：?；厮菝?k*)和反匯編命令(u)等。 值得說明的是,，windbg缺省使用的是懶惰式符號加載策略,，當它收到模塊加載事件時，它通常是不會加載符號的,，符號狀態(tài)顯示為deferred(延遲加載),。 .symopt // 顯示當前所有符號選項 .symopt+ flags // 添加符號選項 .symopt- flags // 刪除符號選項 !sym noisy // 激活詳細符號加載(noisy symbol loading)顯示 !sym quiet // 禁止詳細符號加載顯示 ld * // 為所有模塊加載符號 ld kernel32 // 加載kernel32.dll的符號 .reload // 為所有已加載模塊載入符號信息 .reload /i // 重新加載不匹配符號的模塊【dmp文件沒有對應(yīng)的pdb時使用】 .reload /i TGame.exe // 重新加載不匹配符號的TGame.exe .reload /f /v // f:強制立即模式（不允許延遲載入） v:詳細模式 .reload /f @"c:\windows\System32\verifier.dll" // 為指定模塊加載符號信息 .reload /f TGame.exe // 為TGame.exe加載符號信息 .reload /u TGame.exe // 卸載TGame.exe及其載符號信息 .chain // 顯示已經(jīng)加載進來的模塊 x *! // 列出所有模塊對應(yīng)的符號信息 lm // 列出所有模塊（加載和未加載）對應(yīng)的符號信息 lmv // 列出所有模塊（加載和未加載）對應(yīng)的符號信息 lmvm ntdll // 查看ntdll.dll的詳細信息（注意exe、dll等都不要帶后綴名） x ConsoleTest!* // 列出ConsoleTest模塊中的所有符號 x ConsoleTest!add* // 列出ConsoleTest模塊中的所有add開頭的符號 x /t /v ConsoleTest!* // 帶數(shù)據(jù)類型,、符號類型和大小信息,，列出ConsoleTest模塊中的所有符號 x kernel32!*LoadLib* // 列出kernel32模塊中所有含LoadLib字樣的符號 #進程 | // 列出調(diào)試進程 |* // 列出調(diào)試進程 |N // 參看序數(shù)為N的調(diào)試進程 |Ns // 切換序數(shù)為N的進程為當前調(diào)試進程 #線程 ~ // 列出線程 ~* // 所有線程 ~* k // 所有線程堆棧信息 ~* r // 所有線程寄存器信息 ~. // 查看當前線程 ~0s // 查看主線程 ~# // 查看導(dǎo)致當前事件或異常的線程 ~N // 查看序數(shù)為N的線程 ~~[n] // 查看線程ID為n的線程 ~Ns // 切換序數(shù)為N的線程為當前調(diào)試線程 ~N f // 凍結(jié)序數(shù)為N的線程 ~N u // 解凍序數(shù)為N的線程 ~N n // Suspend序數(shù)為N的線程 ~N m // Resume序數(shù)為N的線程 ~* e !gle // 顯示所有線程最后的一個錯誤信息 e后可以為任意windbg命令 .ttime // 查看當前線程時間信息 !runaway //顯示當前進程的所有線程時間信息
#斷點 bl // 列出所有斷點 bc * // 清除所有斷點 bc 1 // 清除1號斷點 bc 1 2 5 // 清除1號、2號,、5號斷點 be * // 啟用所有斷點 be 1 // 啟用1號斷點 be 1 2 5 // 啟用1號,、2號、5號斷點 bd * // 禁用所有斷點 bd 1 // 禁用1號斷點 bd 1 2 5 // 禁用1號,、2號,、5號斷點 bp 7c801b00 // 在7c801b00地址處放置一個斷點 bp `ConsoleTest.cpp:36` // 在ConsoleTest.cpp的36行處放置一個斷點 bp main // 在main函數(shù)的起始處放置一個斷點 bp CSecondLoader::CSecondLoader // 在CSecondLoader的構(gòu)造函數(shù)處放置一個斷點 bp TestCommon! CTest::add // 在TestCommon.dll的Test.cpp文件的CTest::add()函數(shù)起始處放置一個斷點 bp `ConsoleTest.cpp:40` ".if (poi(pVar)>5) {}; {g}" // ".if (Condition) {Optional Commands}; {g}" 條件斷點 pVar指針指向的值>5,，執(zhí)行空語句（;），斷住 否則繼續(xù)執(zhí)行 bp `ConsoleTest.cpp:40` "j (poi(pVar)>5) ' '; 'g'" // "j (Condition) 'Optional Commands'; 'g'" j為條件表示式：條件斷點 pVar指針指向的值>5,，執(zhí)行空語句（;）,，斷住 否則繼續(xù)執(zhí)行 注：Condition表達式語法默認的是MASM表達式語法。使用復(fù)雜C++表達式時我們需要用@@c++()將表達式包圍??；如："j @@c++(*pVar>5) ' '; 'g'" --------------------------------- x表示的一個地址 --------------------------------- bp `ConsoleTest.cpp:40` "j @eax = 0xa3 ''; 'g'" // j為條件表示式：條件斷點 寄存器eax的值為0xa3時斷住 bp kernel32!CreateFileA // 在系統(tǒng)API的CreateFileA函數(shù)處放置一個斷點 bp kernel32!CreateFileA ".echo;.printf\"CreateFileA(%ma,%p,%p), ret=\",poi(esp+4),dwo(esp+8),dwo(esp+c);gu;.printf\"%N\",eax;.echo;g" // 不斷住進程情況下，打印所有的CreateFileA調(diào)用 bp kernel32!CreateFileW ".echo;.printf\"CreateFileW(%mu,%p,%p), ret=\",poi(esp+4),dwo(esp+8),dwo(esp+c);kn;g;" // 不斷住進程,，打印所有的CreateFileW調(diào)用及堆棧信息 bp advapi32!RegOpenKeyExA ".echo;.printf\"RegOpenKeyExW(%p,\\\"%ma\\\",%N,%N,%p) returned: \", dwo(esp+4), poi(esp+8), dwo(esp+c), dwo(esp+10), dwo(esp+14);gu;.printf\"%N\",eax;.echo;g" // 不斷住進程情況下,，打印所有的RegOpenKeyExA調(diào)用（打開注冊表鍵值） --------------------------------- 注意：有些函數(shù)Symbol Name與導(dǎo)出函數(shù)名可能不一致，例如SetWindowPos,，這時可以用Dependency查看相應(yīng)的導(dǎo)出函數(shù)地址（Entry Point列）：0x00018E5E,，然后在windbg菜單“Debug”—〉“Modules...”對話框中獲得user32.dll模塊起始地址0x77d10000,，在兩個值相加后的絕對地址處直接設(shè)置斷點：bp 77d28E5E,；也可以通過x user32!*命令列出全部Symbols列表，查找77d28E5E,，找到SetWindowPos對應(yīng)的Symbol Name為“NtUserSetWindowPos”,，然后通過符號設(shè)置斷點：bp user32!NtUserSetWindowPos。通過符號設(shè)置斷點的好處是當dll代碼改變時,，不需要修改,，windbg會根據(jù)符號來自動匹配函數(shù)地址。 --------------------------------- bu // 保存斷點,，其用法和bp一樣 bm add_* // 匹配add_開頭的函數(shù),，并在這些函數(shù)起始處都打上斷點 ba w4 0x0483dfe0 // 當對0483dfe0地址寫操作時停下，前面要帶上0x,，否則會報錯 // ba [r|w|e] [Size] Addr [r=read/write, w=write, e=execute], Size=[1|2|4 bytes] #調(diào)試執(zhí)行控制 g // Go(F5) gH // 執(zhí)行g(shù)H命令強制讓調(diào)試器返回已經(jīng)處理了這個異常,。【Go with Exception Handled】 // 系統(tǒng)收到這個回復(fù)后會停止分發(fā)異常（因為調(diào)試器聲稱已經(jīng)處理了異常）,，恢復(fù)調(diào)試目標繼續(xù)執(zhí)行,， // 但由于異常條件仍在，所以還會產(chǎn)生異常,，于是再次分發(fā),，WinDBG再次中斷到命令模式。 gN // 【Go with Exception Not Handled】 // 執(zhí)行g(shù)N命令強制讓調(diào)試器返回沒有處理了這個異常,，那么系統(tǒng)會進一步分發(fā)該異常,， // 如果沒有其他調(diào)試器也不處理，最后系統(tǒng)會彈出程序終止對話框,。 gu // 執(zhí)行到當前函數(shù)完成時停下 【Go Up】 Ctrl+Break // 暫停正在運行的程序 p // 單步執(zhí)行(F10) 【Step】 p 2 // 2為步進數(shù)目 pc // 執(zhí)行到下一個函數(shù)調(diào)用處停下 【Step to Next Call】 pa 7c801b0b // 執(zhí)行到7c801b0b地址處停下 【Step to Adress】 t // Step into(F11) 【Trace】 tc // 執(zhí)行到下一個進入點處停下 【Trace to Next Call】 ta 7c801b12 // 執(zhí)行到7c801b12地址處停下 【Trace to Adress】 # 查看句柄 !handle // 查看所有句柄的ID !handle 000007f8 1 // 查看ID為000007f8的句柄的類型 !handle 000007f8 4 // 查看ID為000007f8的句柄的名稱 !handle 0 5 // 查看所有句柄的類型和名稱 !htrace -enable // 使用windbg調(diào)試運行時,，啟用跟蹤所有打開句柄或關(guān)閉句柄的調(diào)用以及相應(yīng)的?；厮?/span> !htrace // 進程運行結(jié)束后，打印所有打開句柄或關(guān)閉句柄的調(diào)用以及相應(yīng)的?；厮?/span> !htrace -diff // 只打印沒有關(guān)閉的句柄的信息及?；厮?/span> Handle = 0x00000038 - OPEN 0x049ca83c: +0x049ca83c --------------------------------------
# 查看變量 === 0n(十進制) 0x(十六進制) 0t(8進制) 0y(2進制) 可以使用n [8|10|16]命令來修改數(shù)值進制表示方式（輸入n可查看當前進制，默認為16進制）=== -- VC6.0的Link選項需要將/pdbtype:sept改為/pdbtype:con, 否則生成的pdb文件中將不包含如自定義結(jié)構(gòu)體,，類等信息 dt nRet // 查看局部變量nRet的類型與值（函數(shù)參數(shù)變量請用dv命令） --注：編譯器很多時候會把一些局部變量優(yōu)化掉,，這個時候就會出現(xiàn)找不到nRet符號的情況 dt ntdll!* // 顯示ntdll里的所有類型信息 dt *!*IMAGE_DOS* // 顯示所有模塊中含有IMAGE_DOS字符的類型信息 test1!IMAGE_DOS_HEADER dt myApp!g_app // 表示顯示myApp進程里全局變量g_app的內(nèi)存布局（注：vc6見上述說明） dt WindbgTest!CTest // 查看模塊WindbgTest的CTest的內(nèi)存布局（注：vc6見上述說明） dt WindbgTest!CTest 0x0041f8d4 // 將0x0041f8d4地址處內(nèi)容按照模塊WindbgTest的CTest的內(nèi)存布局來解析（注：vc6見上述說明） Windbg默認會用寄存器ECX里面的值作為this指針地址，其實這樣是有時候是錯誤的,。 dt tagMSG 0x0336e54c // 類型要使用tagMSG,，不能使用typedef產(chǎn)生出的MSG typedef struct tagMSG { dt this // 查看this指針的類型及成員變量（注：vc6見上述說明） dt -b this // 查看this指針的類型及成員變量,，如果某一成員變量為結(jié)構(gòu)體，則把其結(jié)構(gòu)成員也一一打印出來 // -b開關(guān)指定遞歸顯示所有子類型信息,，-r[n]指定遞歸顯示的深度,，如-r0表示不顯示子類型信息 dt -v _PEB @$PEB // 使用詳細模式查看PEB（process's environment block）內(nèi)存結(jié)構(gòu) dt _TEB ny LastErrorValue // 只查看TEB（thread's environment block）結(jié)構(gòu)成員LastErrorValue this->m_nPen // 查看成員變量的值（注：vc6見上述說明） this // 查看this指針中的成員變量（注：vc6見上述說明） nCount // 顯示局部變量nCount的地址（前面4198608為10進制表示地址，004010d0為16進制表示地址） 形如：Evaluate expression: 4198608 = 004010d0 HeapTest!CTest::Add // 顯示HeapTest模塊中CTest類中的Add函數(shù)地址 dv // 顯示當前函數(shù)內(nèi)所有局部變量,，函數(shù)參數(shù)的值 dv n* // 顯示當前函數(shù)內(nèi)n開頭的所有局部變量,，函數(shù)參數(shù)的值 dv nCount // 查看局部變量nCount的值 dv a // 查看函數(shù)參數(shù)變量a的值 dv /t /i /V /a|/n|/z /***************************************** 更加詳細地顯示當前函數(shù)內(nèi)所有局部變量，函數(shù)參數(shù)信息 *****************************************/ x // 用法和dv命令一致,，顯示當前函數(shù)內(nèi)所有局部變量,，函數(shù)參數(shù)變量的地址與值 --注：編譯器很多時候會把一些局部變量優(yōu)化掉，這個時候就會出現(xiàn)找不到符號的情況 #調(diào)用堆棧 k // 顯示當前調(diào)用堆棧 kn // 帶棧編號顯示當前調(diào)用堆棧 kb // 打印出前3個函數(shù)參數(shù)的當前調(diào)用堆棧 02a9ffec 00000000 01e511f9 0174c570 00000000 kernel32!BaseThreadStart+0x37 ====================================================== Windows 7 Ultimate Service Pack 1 [Build 6.1.7601] CallStack: //0x64D90000為模塊MSVCR90.dll的基地址，3AF68為崩潰指令在模塊中的偏移值,，(0492B5D0,00074685,0000000C,00462482)為參數(shù)信息 kb 5 // 只顯示最上的5層調(diào)用堆棧 kv // 在kb的基礎(chǔ)上增加了函數(shù)調(diào)用約定等信息 kp // 顯示每一層函數(shù)調(diào)用的完整參數(shù),，包括參數(shù)類型、名字,、取值（必須是完整符號的情況下,，private symbols）；注意：若程序被優(yōu)化,，這些值不一定對 kd // 打印堆棧的地址 dds 02a9ffec // 從02a9ffec地址處,，向高地址方向搜索函數(shù)調(diào)用棧幀 dds // 執(zhí)行完dds 02a9ffec后,，可通過dds命令繼續(xù)進行搜索 .frame // 顯示當前棧幀 .frame n // 設(shè)置編號n的棧幀為當前棧幀（n為16進制數(shù)） .frame /r n // 設(shè)置編號n的棧幀為當前棧幀（n為16進制數(shù)） 并顯示寄存器變量 !uniqstack // 顯示所有線程的調(diào)用堆棧 #查看匯編 u . // 反匯編當前eip寄存器地址的后8條指令 u $eip // 反匯編當前eip寄存器地址的后8條指令 ub . // 反匯編當前ip寄存器地址的前8條指令 ub $eip // 反匯編當前eip寄存器地址的前8條指令 u main+0x29 L30 // 反匯編main+0x29地址的后30條指令 u // 反編譯下8條指令 uf CTest::add // 反匯編CTest類的add函數(shù) uf /c main // 反匯編main函數(shù)，通過/c可以查看main函數(shù)中的函數(shù)調(diào)用(call)都有哪些 ub 000c135d L20 // 查看地址為000c135d指令前的20條指令內(nèi)容
#寄存器 r // 顯示所有寄存器信息及發(fā)生core所在的指令 r eax, edx // 顯示eax,，edx寄存器信息 r eax=5, edx=6 // 對寄存器eax賦值為5,，edx賦值為6 #內(nèi)存 -- 注：windbg不支持中文顯示 !address // 查看進程的所有內(nèi)存頁屬性 !address 7ffd8000 // 查看7ffd8000地址處內(nèi)存頁屬性 dd /c 5 7c801e02 // 從7c801e02內(nèi)存處開始以dword為單位顯示內(nèi)存（寬度為：5）【默認顯示128字節(jié)長度的內(nèi)容】 dd /c 5 7c801e02 L8 // 從7c801e02內(nèi)存處開始以dword為單位顯示內(nèi)存（寬度為：5）【顯示8個dword】 da /c 100 7c80ff03 // 從7c80ff03內(nèi)存處開始顯示Ascii字符串（寬度為：100） du /c 100 7c8022f5 // 從7c8022f5內(nèi)存處開始顯示Unicode字符串（寬度為：100） /***************************************** d[a| u| b| w| W| d| c| q| f| D] [/c 列數(shù)] [地址] a = ascii chars *****************************************/ dyb /c 3 7c801e02 // 從7c801e02內(nèi)存處開始,，顯示byte及二進制（寬度為：3） /***************************************** dy[b | d] .. // b = binary+byte d = binary+dword *****************************************/ s -w 522e0000 L0x100 0x1212 0x2212 0x1234 // 表示在起始地址522e0000之后的0x100個單位內(nèi)搜索0x1212 0x2212 0x1234系列的起始地址 s -u 522e0000 527d1000 "web" //表示在522e0000 和527d1000之間搜索Unicode 字符串”web” ea 0x445634 "abc" // 表示在0x445634地址寫入Ascii字符串a(chǎn)bc, 不包含結(jié)束符0 eza 0x445634 "abc" // 表示在0x445634地址寫入Ascii字符串a(chǎn)bc, 包含結(jié)束符0 eu 0x445634 "abc" // 表示在0x445634地址寫入Unicode字符串a(chǎn)bc, 不包含結(jié)束符0 ezu 0x445634 "abc" // 表示在0x445634地址寫入Unicode字符串a(chǎn)bc, 包含結(jié)束符0 ed nCounter 80 // 將變量nCounter的值修改為80（注：80為10進制還是16進制，還是其他,，取決于當前進制） .writemem D:\Test\0041a5e4.bin 0041a5e4 L1000 // 將內(nèi)存地址處0x0041a5e4后面0x1000長度的內(nèi)容拷貝存儲到D:\Test\0041a5e4.bin中 #查看堆（Heap） !heap -s // 顯示進程堆的個數(shù)（每一項是一個堆,，也就是_HEAP結(jié)構(gòu)指針，對應(yīng)的API是HeapCreate） Heap Flags Reserv Commit Virt Free List UCR Virt Lock Fast dt _HEAP 00140000 // 選取一個堆的地址,，打印該堆的內(nèi)存結(jié)構(gòu) ntdll!_HEAP !heap -a 00140000 // 選取一個堆的地址,，打印該堆的信息，比上面打印內(nèi)存命令更詳細直觀 Index Address Name Debugging options enabled Heap entries for Segment00 in Heap 00140000 #虛擬內(nèi)存 !vadump // 查看虛擬內(nèi)存布局 #設(shè)置事件發(fā)生時windbg行為 sx // 顯示windbg遇到每個異常和事件時的行為 sxr // 將所有異常和事件過濾器的狀態(tài)重設(shè)為默認值 sxe ld // 當加載模塊時,，立即中斷（Break）到調(diào)試器中（第一次處理機會） sxd ud // 當卸載模塊時,，windbg不會在第一次處理機會時中斷(雖然會顯示信息)。如果其他錯誤處理器沒有處理掉該異常,，執(zhí)行會停止下來并中斷（Break）到windbg中（第二次處理機會） sxn et // 當線程退出時,，windbg會打印出一條消息 sxi ct // 當線程創(chuàng)建時，windbg不中斷也不打印消息 #dump輸出 .dump /ma "d:\mydmpfile.dmp" // 將當前調(diào)試進程輸出Dump文件 #其他元命令 .tlist // 顯示所有進程 .cls // 清除屏幕 .logopen c:\1.log // 將command內(nèi)容輸出到c:\1.log文件中 .logclose // 關(guān)閉當前打開的日志 #其他擴展命令 !analyze -v // 詳細顯示當前異常信息 !peb // 格式化輸出PEB信息（process's environment block） PEB at 7efde000 !gle // 打印當前線程最近的錯誤信息LastError !gle -all // 打印所有線程的最近的錯誤信息 !error 897// 顯示錯誤碼為897的詳細描述信息 #幫助 中文在線幫助：http://www./windbghelp/index.html windbg cmd： http://www./kewuc/windbg-cmds 【下載】 |
|
|
