【WinDbg】常用窗口、内存符号命令、调试命令；常用流程，入口函数下断点。

最新推荐文章于 2022-08-27 17:29:06 发布

怎么这么帅啊

最新推荐文章于 2022-08-27 17:29:06 发布

阅读量384

点赞数

分类专栏：学习笔记文章标签： windbg windows调试

本文链接：https://blog.csdn.net/weixin_44503157/article/details/123270472

版权

16 篇文章 4 订阅

订阅专栏

!peb ：显示进程环境块（PEB, process enviroment blok）中信息的格式化视图
- !teb ：显示线程环境块（TEB, thread enviroment blok
!address 查看整体内存布局 layout
d* ：显示给定范围内的内存内容。（读内存）
- du rcx 显示寄存器rxc 指向内存的内容。（u为：Unicode 字符）
- dt 查看相关变量、结构体
e ：写内存
- eb

lm ：查看模块及模块的符号加载情况
- lm v，查看所有模块及一些详细信息
- lm m somemodulename*，查看和指定名称匹配的模块
x [Options] Module!Symbol ：查找对应模块中 匹配的符号。
- (x mymodule!*spin*，表示带 spin 的符号）

~ 显示指定线程或当前进程中所有线程的状态
- ~. 当前活动线程、~* 当前线程、~# 显示最初导导致异常的线程
- ~ 2 s 切换到2号线程。
| 、 |* 显示进程：（需要勾选了启用子进程调试，否则只有一个进程）
- |.活动进程（前面带. 的就是当前进程）
  - | 1 s 表示设置1进程为活动进程。
- .tlist*demo_ipc* ：查看进程简要信息：进程号和进程名称。后面模糊查找

调试时，选择exe 后，勾选Debug child process also ，以便能查询到子进程。

| 查看进程后，|2 s 切换到对应2号子进程。
亦或者使用 .childdbg 2 切换到对应2号子进程。

bp ：在某个地址下断点。bp 0x7783FEB 也可以 bp MyApp!SomeFunction
- bl（breakpoint list）命令列出已存在的断点的信息
- bc*(breakpoint clear) 命令在系统中移除先前设置的断点(* 为移除所有断点）
- 可以通过对进程或线程下断点：bp /p Eprocess Address bp /t Ethread Address (内核模式）
g （go）继续执行。
- g Address 跑到一次性断点处
- gu 用于使调试目标执行完当前函数并且返回到调用者
r （register）：打印当前寄存器。
k：打印当前线程的调用堆栈
- ~findstack kernal32 查看所有线程的堆栈
u：命令显示指定的内存中的程序代码的反汇编
- u rip 返回rip 指向的地址， rip 为返回指令指针寄存器。