windgb - !analyze -v 字段解析

参考官方文档：https://docs.microsoft.com/zh-cn/windows-hardware/drivers/debugger/using-the--analyze-extension

 

FAULTING_IP: 

显示错误时的指令指针 ,IP（Instruction Pointer）：指令指针寄存器 

FAULTING_IP: 
ntdll!PropertyLengthAsVariant+73
77f97704 cc               int     3

 

EXCEPTION_RECORD:

字段显示此崩溃的异常记录，还可以使用 . .exr (显示异常记录) 命令来查看此信息。

EXCEPTION_RECORD:  ffffffff -- (.exr ffffffffffffffff)
ExceptionAddress: 77f97704 (ntdll!PropertyLengthAsVariant+0x00000073)
   ExceptionCode: 80000003 (Break instruction exception)
  ExceptionFlags: 00000000
NumberParameters: 3
   Parameter[0]: 00000000
   Parameter[1]: 00010101
   Parameter[2]: ffffffff

 

BUGCHECK_STR ：

显示异常代码， 在用户模式调试中，将显示异常代码（在本例中为0x80000003）。

BUGCHECK_STR:  80000003

 

DEFAULT_BUCKET_ID：

显示所属的故障的一般类别，APPLICATION_FAULT表示应用错误

DEFAULT_BUCKET_ID:  APPLICATION_FAULT

 

PROCESS_NAME：

字段指定引发异常的进程的名称。

PROCESS_NAME:  MyApp.exe

LAST_CONTROL_TRANSFER：

显示堆栈上的最后一次调用， 在这种情况下，位于地址0x01050963 的代码在0x77F97704 调用了函数。 可以将这些地址与 ln (列出最接近符号) 命令一起使用，以确定这些地址驻留的模块和函数。

LAST_CONTROL_TRANSFER:  from 01050963 to 77f97704

 

STACK_TEXT:

显示出错组件的堆栈跟踪

STACK_TEXT:  
0006b9dc 01050963 00000000 0006ba04 000603fd ntdll!PropertyLengthAsVariant+0x73
0006b9f0 010509af 00000002 0006ba04 77e1a449 MyApp!FatalErrorBox+0x55 [D:\source_files\MyApp\util.c @ 541]
0006da04 01029f4e 01069850 0000034f 01069828 MyApp!ShowAssert+0x47 [D:\source_files\MyApp\util.c @ 579]
0006db6c 010590c3 000e01ea 0006fee4 0006feec MyApp!SelectColor+0x103 [D:\source_files\MyApp\colors.c @ 849]
0006fe04 77e11d0a 000e01ea 00000111 0000413c MyApp!MainWndProc+0x1322 [D:\source_files\MyApp\MyApp.c @ 1031]
0006fe24 77e11bc8 01057da1 000e01ea 00000111 USER32!UserCallWinProc+0x18
0006feb0 77e172b4 0006fee4 00000001 010518bf USER32!DispatchMessageWorker+0x2d0
0006febc 010518bf 0006fee4 00000000 01057c5d USER32!DispatchMessageA+0xb
0006fec8 01057c5d 0006fee4 77f82b95 77f83920 MyApp!ProcessQCQPMessage+0x3b [D:\source_files\MyApp\util.c @ 2212]
0006ff70 01062cbf 00000001 00683ed8 00682b88 MyApp!main+0x1e6 [D:\source_files\MyApp\MyApp.c @ 263]
0006ffc0 77e9ca90 77f82b95 77f83920 7ffdf000 MyApp!mainCRTStartup+0xff [D:\source_files\MyApp\crtexe.c @ 338]
0006fff0 00000000 01062bc0 00000000 000000c8 KERNEL32!BaseProcessStart+0x3d

 

FOLLOWUP_IP: 

当 !analyze确定了可能引起的错误的指令，SYMBOL_NAME, MODULE_NAME, IMAGE_NAME, and DEBUG_FLR_IMAGE_TIMESTAMP  将会显示 符号，模块，image 名称，image的时间戳

FOLLOWUP_IP: 
MyApp!FatalErrorBox+55
01050963 5e               pop     esi

FOLLOWUP_NAME:  dbg

SYMBOL_NAME:  MyApp!FatalErrorBox+55

MODULE_NAME:  MyApp

IMAGE_NAME:  MyApp.exe

DEBUG_FLR_IMAGE_TIMESTAMP:  383490a9

 

STACK_COMMAND：

显示用于获取堆栈文本的命令， 可以使用此命令重复此堆栈跟踪显示，或将其更改为获取相关的堆栈信息。

STACK_COMMAND:  .ecxr ; kb

 

BUCKET _ ID

字段显示当前故障所属的特定失败类别。 此类别有助于调试器确定要在分析输出中显示的其他信息。

BUCKET_ID:  80000003_MyApp!FatalErrorBox+55

For information about the FOLLOWUP_NAME and the Followup fields, see The Followup Field and the triage.ini File.

Followup: dbg

 

可能会出现许多其他字段：

• 如果控件被传输到无效地址，则FAULTING_IP  字段将包含此无效地址。 尽管此反汇编可能毫无意义，但 "FAILED_INSTRUCTION_ADDRESS " 字段将会显示此地址中的反汇编代码。 在这种情况下，SYMBOL_NAME, MODULE_NAME, IMAGE_NAME, and DEBUG_FLR_IMAGE_TIMESTAMP字段将引用此指令的调用方。

• 如果处理器 misfires，则可能会出现 SINGLE_BIT_ERROR, TWO_BIT_ERROR, or POSSIBLE_INVALID_CONTROL_TRANSFER字段。

• 如果似乎发生了内存损坏，CHKIMG _ 扩展字段将指定应该用于调查的 ！ CHKIMG 扩展命令。