windebug使用知识汇集

1 Windebug调试没有符号文件，怎么显示函数名？

调试的程序里那些API函数都是这种显示

call imge 0x00404422

这个地址 0x00405522的函数名什么?

解决方法：

0:000> dds poi(00405798+2) l1
0051b710  7e42974e user32!GetCursorPos

命令原理：

call    WINCMD32+0x1a908 (0041a908)

CALL指令调用的地址0041a908处通常是一条跳转指令:

00405798 ff2510b75100    jmp     dword ptr [WINCMD32+0x11b710 (0051b710)] ds:0023:0051b710={user32!GetCursorPos (7e42974e)}
0040579e 8bc0            mov     eax,eax

这条跳转指令的目的其实就是跳转到IAT表中对应API表项所保存的API入口。注意上面的机器码ff2510b75100，前两个字节ff25是操作码，后四个字节10b75100是操作数，其实就是间接跳转时取最终目标的地方，转换成DWORD就是0051b710。

使用!dh命令可以找到IAT表的位置：

0:000> !dh 00400000

...

  11B000 [    2A20] address [size] of Import Directory

...

也就是说IATA表的偏移是11B000，长度是2A20，上面的地址0051b710就是在这个范围内：

0:000> ?? 0x0051b710-(0x400000+0x11B000) < 0x2a20
bool true

也可以直接dds这个表，来了解导入了哪些API......

当然也可以对IAT表设断点，调用时停下来 :-)