打开notepad,再打开windbg,File → Attach to a Process
,选择notepad.exe,连接进程。
输入命令 !dh -f notepad
查看进程号。
输入命令 !db 进程号 l400
查看notepad的PE结构。
05-23
1576
![](https://csdnimg.cn/release/blogv2/dist/pc/img/readCountWhite.png)
10-15
5799
![](https://csdnimg.cn/release/blogv2/dist/pc/img/readCountWhite.png)
05-22
1057
![](https://csdnimg.cn/release/blogv2/dist/pc/img/readCountWhite.png)