WinDbg 学习（2）

内存查看

dt [nt!]_EPROCESS 查看EPROCESS这个表
加上 -r 可以继续把下属的结构体打出来

同时也支持通配符

知道了结构体的类型，给出结构体地址，还可以把结构体给打出来

同时也能只打出某一个成员

db address size 以一个字节显示值和ASC字符（带感叹号是物理内存，不带感叹号是虚拟内存）

dw address size 显示两字节的值

dd address size 显示四字节的值

dq address size 显示八字节的值

dp address size 显示指针长度的值

dD address size 显示double的值
df address size 显示float的值
da address size 显示ASC字符
du address size 显示UNicode字符

ds address size 显示ANSI_STRING的值
dS address size 显示UNICODE_STRING的值

d d p 第一位都是d，第二位是要显示的指针长度，d:四字节，q：八字节，p:32位下是四字节，64位下是八字节。第三位是指针的值显示的形式，p:DWORD或QWORD，a:ASC，u：UNICODE。
显示指针指向位置的内存

查看栈

kb 查看栈

kp 查看栈，但是把函数的参数收起来了

kv 启用了FPO优化

修改内存

eb address value 修改内存一个字节

内核进程线程命令

！process 0 0 以概要的形式，显示系统所有进程

！process 0 7 查看线程的详细信息
可以使用.logopen 来使其输入到一个文件里面

.process /p EPROCESS 进入该进程上下文

.thread ETHREAD 进入该线程上下文
！thread ETHREAD 查看线程结构