i386kd -z c:/winnt/memory.dmp 调试cAsh dump后的内存映像
u :反汇编
db dw dd:dump memory
x:列出symbols
ln <Address> , ln <symbols> :给出Address 或symbols 给出另一个
processfields:列出EPROCESS 结构
threadfields:列出ETHREAD结构
!drivers:列出加载的driver
!sel:列出selectors
u :反汇编
db dw dd:dump memory
x:列出symbols
ln <Address> , ln <symbols> :给出Address 或symbols 给出另一个
processfields:列出EPROCESS 结构
threadfields:列出ETHREAD结构
!drivers:列出加载的driver
!sel:列出selectors
由于psapi.dll和imagehlp.dll的函数并不是标准Win32 API的一部分,它们所需的头文件和导入库不会自动包括在Visual C/C++工程中。因此,列表1-2中列出的四个指示符(directives)应该在你的原文件中出现。第一部分是所需的头文件,剩余部分用于和这两个DLL中的导出函数建立动态链接。
#include <imagehlp.h>
#include <psapi.h>
#pragma comment (linker,”/defaultlib:imagehlp.dll”)
#pragma comment (linker,”/defaultlib:psapi.dll”)
列表1-2 增加psapi.dll和imagehlp.dll到Visual C/C++工程
译注:
其实,也可以采用静态链接,如下:
#pragma comment(lib,”psapi.lib”)
#pragma comment(lib,”imagehlp.lib”)