2月20日 i386kd的几个命令

i386kd -z c:/winnt/memory.dmp 调试cAsh dump后的内存映像
u ：反汇编
db dw dd：dump memory
x：列出symbols
ln <Address> , ln <symbols> :给出Address 或symbols 给出另一个
processfields:列出EPROCESS 结构
threadfields:列出ETHREAD结构
!drivers:列出加载的driver
!sel:列出selectors

 

由于psapi.dll和imagehlp.dll的函数并不是标准Win32 API的一部分，它们所需的头文件和导入库不会自动包括在Visual C/C++工程中。因此，列表1-2中列出的四个指示符（directives）应该在你的原文件中出现。第一部分是所需的头文件，剩余部分用于和这两个DLL中的导出函数建立动态链接。

 

  #include <imagehlp.h>

  #include <psapi.h>

 

  #pragma comment (linker,”/defaultlib:imagehlp.dll”)

  #pragma comment (linker,”/defaultlib:psapi.dll”)

列表1-2   增加psapi.dll和imagehlp.dll到Visual C/C++工程

译注：

其实，也可以采用静态链接，如下：

#pragma comment(lib,”psapi.lib”)

#pragma comment(lib,”imagehlp.lib”)