常用调试命令:
1.
2.
3.
4.
5.
6.
7.
8.
9.
10. bc : 取消一个断点
11. ba : 设定一个内存访问断点
12. r : 显示寄存器的值
13. u : 反汇编,例如: u 401500 L9 反汇编当前地址以后的9条指令
14. ub: 向前反汇编,例如: ub 4014f9 L2 反汇编当前地址之前的两条指令
15. k : 显示栈回溯
16. kp: 显示栈回溯并且显示每个函数被调用时的参数信息
17. g : 继续执行程序
18. dt: 显示类型结构命令
19. 在内核调试下显示一个进程的PEB信息
20. ln [address] : 显示指定地址的类型信息,或临近address的符号的类型信息.address为可选.
21. ~* kp : 显示所有线程的栈回溯
22. ~* : 显示所有线程(同时也显示出线程的启动函数的地址)
23. dt ntdll!*create* : 显示一个模块内的所有结构体类型名
24. !handle : 查看句柄(表)
25. uf <function address> : 反汇编函数
26. !peb [address] : 显示一个进程的进程块信息
27. !object 查看内核对象,格式如下:
28. t : 单步跟入. tc: 单步跟入直到一个call为止.
29. p : 单步步过. pc: 单步步过直到一个call为止. pct: 单步步过直到一个call或ret为止.
29. bu kernel32!BaseProcessStart : 设置一个延迟的以后再落实的断点