windbg-!process显示进程

!process 0 0 显示进程列表：

[cpp]  view plain  copy

 

1. kd> !process 0 0  
2. **** NT ACTIVE PROCESS DUMP ****  
3. PROCESS 825b7830  SessionId: none  Cid: 0004    Peb: 00000000  ParentCid: 0000  
4.     DirBase: 02b40020  ObjectTable: e1003e00  HandleCount: 254.  
5.     Image: System  
6.   
7. PROCESS 8241d490  SessionId: none  Cid: 0178    Peb: 7ffdf000  ParentCid: 0004  
8.     DirBase: 02b40040  ObjectTable: e148a4a0  HandleCount:  19.  
9.     Image: smss.exe  
10.   
11. PROCESS 824d6268  SessionId: 0  Cid: 0264    Peb: 7ffd4000  ParentCid: 0178  
12.     DirBase: 02b40060  ObjectTable: e148fa18  HandleCount: 383.  
13.     Image: csrss.exe  
14. ....  

!process XXX显示指定进程的所有信息， !process XXX 0显示指定进程的基本信息

XXX可以为EPROCESS或进程ID

[cpp]  view plain  copy

 

1. kd> !process @$proc 0  
2. PROCESS 825b7830  SessionId: none  Cid: 0004    Peb: 00000000  ParentCid: 0000  
3.     DirBase: 02b40020  ObjectTable: e1003e00  HandleCount: 254.  
4.     Image: System  
5.   
6. kd> !process 4 0  
7. Searching for Process with Cid == 4  
8. Cid Handle table at e1005000 with 366 Entries in use  
9. PROCESS 825b7830  SessionId: none  Cid: 0004    Peb: 00000000  ParentCid: 0000  
10.     DirBase: 02b40020  ObjectTable: e1003e00  HandleCount: 254.  
11.     Image: System  

!process 0 0 XXX.exe查找进程

[cpp]  view plain  copy

 

1. kd> !process 0 0  smss.exe  
2. PROCESS 8241d490  SessionId: none  Cid: 0178    Peb: 7ffdf000  ParentCid: 0004  
3.     DirBase: 02b40040  ObjectTable: e148a4a0  HandleCount:  19.  
4.     Image: smss.exe  
5.   
6. kd> !process 0 0 system  
7. PROCESS 825b7830  SessionId: none  Cid: 0004    Peb: 00000000  ParentCid: 0000  
8.     DirBase: 02b40020  ObjectTable: e1003e00  HandleCount: 254.  
9.     Image: System  

注意只有sytem,没有sytem.exe!!!

[cpp]  view plain  copy

 

1. kd> !process 0 0 system.exe  

上述命令是找不到的