WINDBG u win32k!NtUserSendInput 出现 Memory access error处理方法（）

最新推荐文章于 2021-03-28 20:55:59 发布
最新推荐文章于 2021-03-28 20:55:59 发布
阅读量5k 收藏 1
点赞数
分类专栏： 调试技术
WINDBG调试出现了这个问题...
请问何解?
kd> u win32k!NtUserSendInput
win32k!NtUserSendInput:
bf8c31e7 ?? ???
^ Memory access error in 'u win32k!NtUserSendInput'

这个意思是难道是WIN32K没有映射到内存?


解决方法:

1.首先使用 .Process命令.

你会发现你现在的地址空间在SYSTEM进程内.

2.使用 !Process 0 0获取进程列表.

选择一个非SMSS.exe非SYSTEM.exe的任何一个进程的EPROCESS.

3.执行 .process EPROCESS地址.

进行地址空间ATTACH.然后再尝试一下.

cosmoslife
关注
  • 0
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
windbg win7&win10.zip
05-18
这个名为"windbg win7&win10.zip"的压缩包包含了适用于不同Windows操作系统的Windbg版本，旨在满足用户在不同环境下进行调试的需求。 首先，压缩包中包含的WinDbg_X64_v10.0.18362.1.msi是Windbg的64位版本，适用于...
windbg适用于win7系统，亲测32位，64位可用
04-23
- **符号处理**：Windbg可以与Microsoft符号服务器交互，获取函数名、源代码行号等调试信息。 2. 使用场景： - **驱动程序开发**：在开发和测试驱动程序时，Windbg是必不可少的工具，可以捕获和分析内核模式下的...
windbg Memory access error in 'u ntdll!_allmul'
weixin_33910434的博客
04-06 655
2019独角兽企业重金招聘Python工程师标准>>> ...
IAR debug时候出现的问题User error:Memory access error
weixin_43490725的博客
11-06 5045
在使用IAR debug时候出现的问题如User error:Memory access error等什么地址错误和路径错误。 问题： 在用IAR下载代码的时候出现如下提示的问题 解决办法：将Debugger/Setup/Driver 下的选项，选择你使用的下载方式，我的错误是一开始我这里是simulator,选择ST-LINK后就解决我的问题了。 ...
Annoying error of Uninitialized Memory Access
Coder
09-03 907
Submitted by vladimir-tsymba... on Tue, 12/29/2009 - 04:12 Categories:  Intel® Parallel Inspector Tags:  Inspector   memory checker   Uninitialized Memory Access
在windbg中显示win32k.sys调试符号
u012129783的博客
04-02 1951
在windbg中测试shadow ssdt , win32k!NtUserGetForegroundWindow , hook shadow ssdt 在windbg中查看shadow ssdt： 0: kd> lm start end module name 804d8000 806e3000 nt (pdb symbols) I:...
win7 64bit下windbg本地内核调试方法
08-19
win7 64bitwindbg本地内核调试，网上提到的不能是实现的本地内核调试的解决方案，纯摸索得到方法。
windbg 10.0版本 适用于win10
05-15
- **故障排除**：如果Win10系统出现蓝屏或不稳定的状况，Windbg可以分析系统日志和崩溃转储文件，找出问题所在。 **压缩包中的x86和x64：** - **x86**：这代表32位版本的Windbg，用于调试32位的应用程序和驱动程序...
真正Win10中可用的windbg10（Debugging Tools for Windows 10）
05-27
目前CSDN下载频道中的微软调试工具WinDbg（即Debugging Tools for Windows）大都不适用于Win10系统，在Windows10中会报错：Could not find the xxx\MEMORY.DMP Dump File，Win32 error On87。这里提供的WinDbg10下载...
R0层获取ShadowSSDT函数原始地址实例
11-20
本实例由VS2008开发，在提供了一套驱动开发框架的同时，又演示了如何获取Shadow SSDT表函数原始地址的办法。 主要函数：ULONG GetShadowSSDT_Function_OriAddr(ULONG index); 原理说明： 根据特征码搜索导出函数KeAddSystemServiceTable来获取Shadow SSDT基址，以及通过ZwQuerySystemInformation()函数获取win32k.sys基址，然后解析PE定位到Shadow SSDT在win32k.sys的偏移地址，并通过进一步计算来得到Shadow SSDT表函数的原始地址。 这里只测试了三个函数：(460)NtUserMessageCall、(475)NtUserPostMessage和(502)NtUserSendInput，具体使用时可以举一反三，网上完整的源代码实例并不太多，希望可以帮到真正有需要的朋友。 系统环境： 在WinXP SP3系统 + 瑞星杀毒软件 打印输出： [ LemonInfo : Loading Shadow SSDT Original Address Driver... ] [ LemonInfo : 创建“设备”值为：0 ] [ LemonInfo : 创建“设备”成功... ] [ LemonInfo : 创建“符号链接”状态值为：0 ] [ LemonInfo : 创建“符号链接”成功... ] [ LemonInfo : 驱动加载成功... ] [ LemonInfo : 派遣函数(DispatchRoutine) IRP 开始... ] [ LemonInfo : 派遣函数(DispatchRoutine) IRP Enter IRP_MJ_DEVICE_CONTROL... ] [ LemonInfo : 获取ShadowSSDT表 (460)NtUserMessageCall 函数的“当前地址”为：0xB83ECFC4，“起源地址”为：0xBF80EE6B ] [ LemonInfo : 获取ShadowSSDT表 (475)NtUserPostMessage 函数的“当前地址”为：0xB83ECFA3，“起源地址”为：0xBF8089B4 ] [ LemonInfo : 获取ShadowSSDT表 (502)NtUserSendInput 函数的“当前地址”为：0xBF8C31E7，“起源地址”为：0xBF8C31E7 ] [ LemonInfo : 派遣函数(DispatchRoutine) IRP_MJ_DEVICE_CONTROL 成功执行... ] [ LemonInfo : 派遣函数(DispatchRoutine) IRP 结束... ] [ LemonInfo : UnLoading Shadow SSDT Original Address Driver... ] [ LemonInfo : 删除“符号链接”成功... ] [ LemonInfo : 删除“设备”成功... ] [ LemonInfo : 驱动卸载成功... ]
2021-03-28
H15710455173的博客
03-28 250
IAR编译常见错误 首先，申明这下面是转的。 Error[Cp001]: Copy protection check, No valid license found for this prod t [20] 原因：安装的时候没有把注册机的0x…字串的小写字母改为大写字母。 Warning[Pe001]: last line of file ends without a newline F:\emoTion\IAR\PK 升级\CC1110-8\main.c 原因：在使用IAR时常常会弹出类似这样一个警告,其
分析了一下360安全卫士的hook(zt)
lionzl的专栏
07-11 3352
分析了一下360安全卫士的hook(zt)2010-6-3 18:36阅读(12) 分析了一下360的HOOK,通过直接hook KiFastCallEntry实现以所有系统调用的过滤。 我分析的版本如下： 主程序版本: 6.0.1.1003 HookPort.sys版本: 1, 0, 0, 1005 HookPort.sys的TimeStamp: 4A8D4AB8 简
Windows内核新手上路2——挂钩shadow SSDT
多媒体编程、网络编程、系统编程、网络安全编程、驱动编程
08-15 1628
Windows内核新手上路2——挂钩shadow SSDT          文章核心内容：安全软件窗口保护、安全输入、截屏保护的一些思路。挂钩NtUserFindWindowEx、NtUserGetForegroundWindow、NtUserBuildHwndList、NtUserQueryWindow、NtUserWindowFromPoint、NtUserSetParent、NtUser
一个反键盘记录工具的分析
08-22 1458
除了nProtect，国外还有一些反键盘记录工具，比如下面这个还不错：http://www.anti-keyloggers.com/是个通用型的，与QQ的nProtect专门用于保护密码不同。而且反破解做的不错（对我这种破解外行而言，呵呵）。它的原理我简单的说一下，就是替换键盘类驱动的KeyboardClassServiceCallback，然后把得到的ScanCode传递到用户态
获得SSDT表函数名
cqyczj的专栏
04-18 1746
代码:  ULONG GetSSDTName() {  KdBreakPoint();  if (KeGetCurrentIrql() > PASSIVE_LEVEL)  {   return STATUS_UNSUCCESSFUL;  }  //设置NTDLL路径  UNICODE_STRING uniFileName;  RtlInitUnicodeString(&uniFileName, 
调试内存损坏：到底谁将“ 2”写入我的堆栈？
culiao6493的博客
09-08 630
嗨，我叫Tautvydas，我是Windows团队的Unity软件开发人员。 我想分享一个调试难以捉摸的内存损坏错误的故事。 (Hi, my name is Tautvydas and I’m a software developer at Unity working in the Windows team. I’d like to share a story of debugging an e...
windbg学习实例1:内存破坏
weixin_30840573的博客
05-25 269
以下实例来自AWD 代码： /*++ Copyright (c) Advanced Windows Debugging (ISBN 0321374460) from Addison-Wesley Professional. All rights reserved. THIS CODE AND INFORMATION IS PROVIDED "AS IS" WITHOU...
Memory access error in 'u NtFlushKey'
最新发布
06-02
如果在使用 Windbg 执行 "u NtFlushKey" 命令时出现 "Memory access error" 错误，可能是因为 NtFlushKey 函数没有被加载到内存中，或者因为当前没有符号信息。 你可以尝试以下步骤来解决这个问题： 1. 确保已经附加到了正确的进程，并且该进程已经启动并加载了相关的 DLL。 2. 使用 ".reload" 命令重新加载符号信息。 3. 如果还是无法找到符号信息，可以尝试使用 ".sympath" 命令设置符号路径，并使用 ".reload" 命令重新加载符号信息。 4. 如果仍然无法解决问题，可能是因为该函数被保护起来了，你需要使用其他工具来查看它的反汇编代码。 希望这些步骤可以帮助你解决问题。如果还有其他问题，请随时问我。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值