如何使用windbg看eprocess的结构

最新推荐文章于 2023-07-20 10:40:18 发布

qinlicang

最新推荐文章于 2023-07-20 10:40:18 发布

阅读量6.8k

点赞数 2

分类专栏：开发总结文章标签： integer list c path session token

本文链接：https://blog.csdn.net/qinlicang/article/details/4490203

版权

本文介绍了如何使用Windbg工具来查看_eprocess结构。首先，详细讲述了设置Windbg的symbol path的过程，包括本地和微软Symbol Server的配置。然后，通过输入`dt _eprocess`命令，展示了eprocess结构中的各项字段，包括Pcb、CreateTime、ExitTime等，为理解进程内部工作原理提供帮助。

摘要由CSDN通过智能技术生成

安装windbg

加入 symbol path

运行WinDbg->菜单->File->Symbol File Path->按照下面的方法设置_NT_SYMBOL_PATH变量：

在弹出的框中输入“C:/MyCodesSymbols; SRV*C:/MyLocalSymbols*http://msdl.microsoft.com/download/symbols”(按照这样设置，WinDbg将先从本地文件夹C:/MyCodesSymbols中查找Symbol，如果找不到，则自动从MS的Symbol Server上下载Symbols)。另一种做法是从这个Symbol下载地址中http://www.microsoft.com/whdc/devtools/debugging/symbolpkg.mspx ，下载相应操作系统所需要的完整的Symbol安装包，并进行安装，例如我将其安装在D:/WINDOWS/Symbols，在该框中输入“D:/WINDOWS/Symbols”。（这里要注意下载的Symbols的版本一定要正确 ，

绑定到任何一个进程

输入 dt _eprocess 则会显示eprocess结构。

0:013> dt _eprocess
ntdll!_EPROCESS
   +0x000 Pcb              : _KPROCESS
   +0x06c ProcessLock      : _EX_PUSH_LOCK
   +0x070 CreateTime       : _LARGE_INTEGER
   +0x078 ExitTime         : _LARGE_INTEGER
   +0x080 RundownProtec