WinDBG命令概览

最新推荐文章于 2024-03-20 10:09:49 发布
最新推荐文章于 2024-03-20 10:09:49 发布
阅读量623 收藏 2
点赞数
分类专栏： 驱动学习

转自： http://www.cnblogs.com/awpatp/


WinDBG的大多数功能是以命令方式工作的, 本系列将介绍WinDBG的三类命令, 标准命令, 元命令和扩展命令.

===============

标准命令

===============

标准命令用来提供适用于所有调试目标的基本调试功能.

所有基本命令都是实现在WinDBG内部的, 执行这些命令时不需要加载任何扩展模块. 大多数标准命令是一两个字符或者符号, 只有version等少数命令除外. 标准命令的第一个字符是不分大小写的, 第二个字符可能区分大小写. 迄今为止, WinDBG调试器共实现了130多条标准命令, 分为60多个系列. 为了便于记忆, 可以根据功能将标准命令归纳为如下18个子类.

控制调试目标执行

功能命令描述/助记补充信息
恢复运行gGo~123g, ~#g, ~*g
跟踪执行tTrace 
单步执行pStep 
追踪监视wtTrace and Watch Data 

寄存器相关

功能命令描述/助记补充信息
观察和修改通用寄存器rRegisters 
读写MSR寄存器rdmsr和wrmsrRead MSR and Write MSR 
设置寄存器显示掩码rmRegister Mask 

IO端口读写

功能命令描述/助记
读IO端口ib, iw, idInput from port (byte, word, double word)
写IO端口ob, ow, odOutput to port (byte, word, double word)

内存控制

功能命令描述/助记补充信息
观察内存d系列Display Memoryd, da, db, dc, dd, dD, df, dp, dq, du, dw, dW, dyb, dyd
编辑内存e系列Enter Valuese, ea, eb, ed, eD, ef, ep, eq, eu, ew, eza, ezu
搜索内存sSearch Memorysb, sw, sd, sq, sa, su

栈

功能命令描述/助记补充信息
观察栈k系列Display Stack Backtracek, kb, kc, kd, kp, kP, kv

设置维护断点

功能命令描述/助记
软件断点bp, bu, bmSet Breakpoint, Set Unresolved Breakpoint, Set Symbol Breakpoint
硬件断点baBreak on Access
管理断点blBreakpoint List
清除,禁止,重新启用断点bc, bd, beBreakpoint Clear, Breakpoint Disable, Breakpoint Enable

线程

功能命令描述/助记
显示控制线程~Thread Status

进程

功能命令描述/助记
显示进程|Process Status

表达式

功能命令描述/助记
评估表达式?Evaluate Expression
评估C++表达式??Evaluate C++ Expression

汇编, 反汇编

功能命令描述/助记
汇编aAssemble
反汇编uUnassemble

段

功能命令描述/助记
显示段的选择子dgDisplay Selector: shows the segment descriptor for the specified selector

执行命令文件

功能命令描述/助记补充信息
运行命令脚本文件$Run Script File$<, $><, $$<, $$><, $$>a<

配置命令

功能命令描述/助记补充信息
异常发生或者某事件发生时debuger的处理方式sx系列Set Exceptionssx, sxd, sxe, sxi, sxn, sxr, sx-
启用与禁止静默模式sqSet Quiet Mode

sq
sq{e|d}

设置内核debugging选项soSet Kernel Debugging Options 
设置符号后缀ssSet Symbol Suffixss [a|w|n]

版本与系统信息

功能命令描述/助记
显示调试器和调试目标版本versionShow Debugger Version
显示调试目标所在系统的信息vertargetShow Target Computer Version

检查符号

功能命令描述/助记
检查符号xExamine Symbols

源程序

功能命令描述/助记补充信息
控制和显示源程序ls系列List Source Linesls, lsa, lsp, lsc, lsf

调试符号

功能命令描述/助记
加载调试符号ldLoad Symbols
搜索相邻符号lnList Nearest Symbols
显示模块列表lmList Loaded Modules

调试会话

功能命令描述/助记
结束调试会话qQuit
结束远程调试qqQuit
结束调试会话并分离调试目标qdQuit and Detach

在命令编辑框中输入一个问号(?), 可以显示出主要的标准命令和每个命令的简单介绍.


===============

元命令

===============

元命令(Meta-Command)用来提供标准命令没有提供的常用调试功能, 与标准命令一样, 元命令也是内建在调试器引擎或者WinDBG程序文件中的. 所有元命令都已一个点(.)开始, 所以元命令也被称为点命令(Dot Command).

按照功能, 可以把元命令分成如下几类.

  • 显示和设置调试会话和调试器选项.
    • 用于符号选项的.symopt- Set Symbol Options
    • 用于符号路径的.sympath- Set Symbol Path, 和.symfix- Set Symbol Store Path.
    • 用于程序源文件的.srcpath- Set Source Path, .srcnoisy- Noisy Source Loading,.srcfix- Use Source Server
    • 用于扩展命令模块路径的.extpath- Set Extension Path
    • 用于匹配扩展命令的.extmatch- Display All Matching Extensions
    • 用于可执行文件的.exepath- Set Executable Path
    • 设置反汇编选项的.asm- Change Disassembly Options
    • 控制表达式评估器的.expr- Choose Expression Evaluator
  • 控制调试会话或者调试目标.
    • 重新开始调试会话的.restart- Restart Kernel Connection(Kernel Mode) 或 Restart Target Application(User Mode)
    • 放弃用户态调试目标(进程)的.abandon- Abandon Process
    • 创建新进程的.create- Create Process
    • 附加到存在进程的.attach- Attach to Process
    • 打开转储文件的.opendump- Open Dump File
    • 分离调试目标的.detach- Detach from Process
    • 用于杀掉进程的.kill- Kill Process
  • 管理扩展命令模块
    • 加载模块的.load- Load Extension DLL
    • 卸载模块.unload- Unload Extension DLL和.unloadall- Unload All Extension DLLs
    • 显示已加载模块的.chain- List Debugger Extensions
  • 管理调试器日志文件
    • 显示信息 .logfile- Display Log File Status
    • 打开 .logopen- Open Log File
    • 追加 .logappend- Append Log File
    • 关闭 .logclose- Close Log File
  • 远程调试
    • 用于启动remote.exe服务的.remote- Create Remote.exe Server
    • 用于启动调试引擎服务器的.server- Create Debugging Server
    • 列出可用服务器的.servers- List Debugging Servers
    • 用于向远程服务器发送文件的.send_file- Send File
    • 用于结束远程进程服务器的.endpsrv- End Process Server
    • 用于结束引擎服务器的.endsrv- End Debugging Server
  • 控制调试器
    • 让调试器睡眠一段时间的.sleep- Pause Debugger
    • 唤醒处于睡眠状态的调试器的.wake- Wake Debugger
    • 启动另一个调试器来调试当前调试器的.dbgdbg- Debug Current Debugger
  • 编写命令程序
    • 包括一系列类似C语言关键字的命令, 如
      • .if, .else, .elsif, .foreach, .do, .while. .continue, .catch, .break, .continue, .leave, .printf, .block. 在<软件调试>一书第30章的第18节有介绍命令程序的编写方法.
  • 显示或者转储调试目标数据
    • 产生转储文件的.dump- Create Dump File
    • 将原始内存数据写到文件的.writemem- Write Memory to File
    • 显示调试会话时间的.time- Display System Time
    • 显示线程时间的.ttime- Display Thread Times
    • 显示任务列表的.tlist- List Process IDs
    • 以不同格式显示数字的.formats- Show Number Formats
    • 可以列出所有元命令和每个命令的简单说明的.help- Meta-Command Help

===============

扩展命令

===============

扩展命令(Extension Command)用于实现针对特定调试目标的调试功能. 与标准命令和元命令是内建在WinDBG程序文件中不同, 扩展命令式实现在动态加载的扩展模块(DLL)中的.

利用WinDBG的SDK, 用户可以自己编写扩展模块和扩展命令. WinDBG程序包中包含了常用的扩展命令模块. 存放在以下几个子目录中.

  • NT4CHK: 调试目标为Windows NT 4.0 checked版本时的扩展命令模块.
  • NT4FRE: 调试目标为Windows NT 4.0 free 版本时的扩展命令模块.
  • W2KCHK: 调试目标为Windows 2000 checked 版本时的扩展命令模块.
  • W2KFRE: 调试目标为Windows 2000 free 版本时的扩展命令模块.
  • WINXP: 调试目标为Windows XP 或者更高版本时版本时的扩展命令模块.
  • WINEXT: 适用于所有Windows版本的扩展命令模块.

扩展模块

路径

描述

ext.dll

WINEXT

适用于各种调试目标的常用扩展命令

kext.dll

WINEXT

内核态调试时的常用扩展命令

uext.dll

WINEXT

用户态调试时的常用扩展命令

logexts.dll

WINEXT

用于监视和记录API调用（Windows API Logging Extensions）

sos.dll

WINEXT

用于调试托管代码和.Net程序

ks.dll

WINEXT

用于调试内核流（Kernel Stream）

wdfkd.dll

WINEXT

调试使用WDF（Windows Driver Foundation）编写的驱动程序

acpikd.dll

WINXP

用于ACPI调试，追踪调用ASL程序的过程，显示ACPI对象

exts.dll

WINXP

关于堆（!heap）、进程/线程结构（!teb/!peb）、安全信息（!token、!sid、!acl）和应用程序验证（!avrf）等的扩展命令

kdexts.dll

WINXP

包含了大量用于内核调试的扩展命令

fltkd.dll

WINXP

用于调试文件系统的过滤驱动程序（FsFilter）

minipkd.dll

WINXP

用于调试AIC78xx小端口（miniport）驱动程序

ndiskd.dll

WINXP

用于调试网络有关驱动程序

ntsdexts.dll

WINXP

实现了!handle、!locks、!dp、!dreg（显示注册表）等命令

rpcexts.dll

WINXP

用于RPC调试

scsikd.dll

WINXP

用于调试SCSI有关的驱动程序

traceprt.dll

WINXP

用于格式化ETW信息

vdmexts.dll

WINXP

调试运行在VDM中的DOS程序和WOW程序

wow64exts.dll

WINXP

调试运行在64位Windows系统中的32位程序

wmitrace.dll

WINXP

显示WMI追踪有关的数据结构、缓冲区和日志文件

执行扩展命令式, 应该以叹号( ! )开始, 叹号在英文中被称为bang, 因此扩展名伶也被称为Bang Command. 执行扩展命令的完整格式是:

![扩展模块名].<扩展命令名> [参数]

其中, 扩展模块名可以省略, 如果省略, WinDBG会自动在已经加载的扩展模块中搜索指定的命令.

因为扩展命令是实现在动态加载的扩展模块(DLL)中的, 所以执行时需要加载对应的扩展模块. 当调试目标被激活(debuggee activation)时, WinDBG会根据调试目标的类型和当前的工作空间自动加载命令空间中指定的扩展模块. 用户也可以使用一下方法手动加载扩展模块.

  • 使用.load命令加上扩展模块的名称或者完成路径来加载它. 如果没有指定路径, 那么WinDBG会在扩展模块搜索路径(EXTPATH)中寻找这个文件.
  • 使用.loadby命令加上扩展模块的名称和一个已经加载的程序模块的名称. 这时WinDBG会在指定的程序模块文件所在目录中寻找和加载扩展命令模块. 例如, 在调试托管程序是, 可以使用.loadby sos mscorwks命令让WinDBG在mscorwks模块所在的目录中加载SOS扩展模块, 这样可以确保加载正确版本的sos模块.

当使用"!扩展模块名.扩展命令名"的方式执行扩展命令时, 如果指定的扩展模块还没有加载, 那么WinDBG会自动搜索和加载这个模块.

使用.chain命令可以列出当前加载的所有扩展模块, 使用.unload和.unloadall命令可以卸载指定的或者全部扩展模块. 大多数扩展模块都支持help命令来显示这个模块的基本信息和所包含的全部命令, 例如执行!ext.help可以显示ext模块中的所有扩展命令.

ccx_john
关注
专栏目录
Windbg常用命令
Z's Palace
11-30 284
内建在调试引擎中的命令，提供标准命令没有提供的功能，命令以.开头，比如**.excr、.reload、.dump**等。：用于扩展某一方面的调试功能，实现在动态加载的扩展模块中，以!analyze**等。：基本的调试命令，不区分大小写，比如。
WinDBG命令主题分类详解（内含英文原版和本人翻译的蹩脚中文版）
04-22
WinDBG的一个命令分类详解。作者是Robert Kuster，在该网站上能看到包括该文档在内的很多WinDBG相关教程：www.software.rkuster.com 压缩包中的WinDBG_Cmds.pdf即是原作。而WinDBG_Cmds_CHS.pdf则是我本人的翻译，翻译的非常蹩脚……仅供参考～～
WinDBG命令概览(中) - 元命令
weixin_34364071的博客
01-31 112
元命令(Meta-Command)用来提供标准命令没有提供的常用调试功能, 与标准命令一样, 元命令也是内建在调试器引擎或者WinDBG程序文件中的. 所有元命令都已一个点(.)开始, 所以元命令也被称为点命令(Dot Command).   按照功能, 可以把元命令分成如下几类. 显示和设置调试会话和调试器选项. 用于符号选项的.symopt- Set Symbol Options 用于符号...
windbg的命令类型
erikaIT的博客
02-03 573
1、内置命令，直接命令打头，如lm 2、元命令，'.'打头，如.reload 3、扩展命令，‘!’打头，如!dh 内置命令和元命令是调用可执行文件，command窗口回显执行结果 扩展命令是外部dll，可以隐式或动态加载库，然后执行相应导出函数，回显结果
WinDBG命令概览：标准、元与扩展命令详解
1. 命令概览：WinDBG命令系统是其核心，用户通过输入不同类型的命令进行调试操作，如用户态调试、内核态调试、处理调试转储文件以及远程调试等。虽然以窗口程序呈现，但主要依赖于命令行输入。 2. 工作空间管理：...
WinDBG命令归总
04-11
以上仅是WinDBG命令的一部分，实际上还有更多高级功能，如内存转储分析、内核模式调试等。熟练掌握这些命令能极大提高调试效率，解决复杂的系统问题。在实际使用中，结合WinDBG的图形界面和脚本功能，可以实现更高效...
windbg 命令 想
03-29
### Windbg命令分类概览 #### 内置帮助命令 Windbg提供了丰富的内置帮助命令，用于展示其可用功能和命令语法。这些命令包括但不限于： - `?` 和 `?/D`：分别显示常规命令及其DML（Debugger Markup Language）格式...
WinDBG命令行大全.zip
04-11
下面将详细介绍WinDBG的一些核心命令及其应用。 1. **kdexts**：这是WindDBG的一组扩展命令，用于提供对内核模式调试的支持。例如，`!process`用于显示进程信息，`!thread`用于查看线程状态，`!analyze -v`则用于...
Windbg调试工具命令全览
以下是一些关键的WinDbg命令分类和用途： 1) 内置帮助命令： - `?`、`.help`：显示WinDbg的基本命令和其用法，帮助用户理解和使用调试器。 - `.chain`：列出已加载的所有调试器扩展，这对于了解当前调试环境中的...
【Windbg】常用命令
最新发布
sunriver2000的专栏
03-20 282
Windbg（Windows Debugger）是微软提供的强大的调试工具，用于在 Windows 操作系统上进行应用程序和内核级别的调试。它主要用于诊断和解决软件开发中的问题，包括崩溃、死锁、内存泄漏、性能问题等。
WINDBG错误提示及处理
lopper的专栏
01-19 8493
今天初次使用WINDBG，遇到了两个问题，最后解决了。此处和大家一起分享一下： 1） WARNING: Non-directory path 我在符号路径里都填加了还是遇到，这时我发现其实只要添加路径即可，记得不要加入文件名。 2）WARNING: Unable to verify checksum for 使用VC工具包中的editbin工具可以为程序文件增加校验和
[转]windows程序员进阶系列：《软件调试》之O--- WinDbg使用介
comhaqs的专栏
03-06 1217
原帖地址：http://blog.csdn.net/ithzhang/article/details/8630429                         windows程序员进阶系列：《软件调试》之O--- WinDbg使用介绍      拥有一个顺手的武器是每一个武林高手梦寐以求的。对于windows程序员来说，WinDbg调试器就是我们的武器。熟练使用调试器能大大提高我们的
Windbg调试命令详解（3）
张佩的技术库
10-08 6321
3 进程与线程 既可以显示进程和线程列表，又可以显示指定进程或线程的详细信息。调试命令可以提供比taskmgr更详尽的进程资料，在调试过程中不可或缺。 3.1 进程命令 进程命令包括这些内容：显示进程列表、进程环境块、设置进程环境。 进程列表 多个命令可显示进程列表，但一般只能在特定情况下使用，它们是：|、.tlist、!process和!dml_proc。 竖线命令显示当前被调试进程列表的状态信息，这个命令在本章开头已作过介绍，命令格式如下： | [进程号] 请注意这里的定语：被调试进程列
windbg 常用调试命令总结
就是那个党伟
10-16 2901
1.显示所有线程 ~ // 显示所有线程 ~* 2.显示堆栈 kb // 显示当前堆栈 ~0 k // 显示第0个线程的堆栈，主线程
windows下编写和编译ndk文件
板凳的专栏
10-15 651
配置windows环境 首先将 "android_sdk\sdk\ndk-bundle" 添加到path路径 确保能执行 ndk-build windows路径配置 新建 getcpuTest 目录，并在此目录下新建jni目录 目录结构如下 getcpuTest\ jni\ 在jni目录中新建 xxx.c 文件和 Android.mk 文件 编译： 到 getcpuTest 目录下，直接执行 ndk-build ...
windbg调试命令
blacet的专栏
11-05 5573
windbg调试命令  #调试命令窗口  +++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++ #使用gflags.exe工具（在windbg所在目录下），让某个进程启动时，拉取windbg进行调试 如下截图：当名称为captcomm.exe的进程启动时，拉起windbg调试 也可通过脚本命令来实现： ...
13.windbg-!runaway、~、|（控制进程、线程切换）
hgy413的专栏
05-14 8259
!runaway !runaway命令显示每个线程消费的时间 Bit 0 (0x1) 让调试器显示每个线程消耗的用户模式时间(user time)，默认不加就是0x1 Bit 1 (0x2) 显示每个线程消耗的内核时间(kernel time)。 Bit 2 (0x4) 显示每个线程从创建开始经历了多少时间。 就是三者的组合：1 2 3 4 5 6 70:002> !runaway Us
编写windbg调试器扩展 入门篇1
lixiangminghate的专栏
08-10 1706
我博客的左侧专栏曾经转过windows下编写调试器的一系列文章，这类文章是从零打造调试器，而这篇文章是介绍如何为windbg编写调试器扩展命令。 0.前言     windbg的命令有很多，其中以"!"开始的命令就是所谓的扩展命令。这些扩展命令由Dll以导出函数的形式提供给windbg加载。一般跟在"!"后面的字符串就是dll中导出的函数。以!htrace命令为例，查看windbg帮助文档，它
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值