一场因为想偷懒引发的那些事——WinDbg的简单用法

参考&&引用

SOS installer

dds, dps, dqs (Display Words and Symbols)

SOS.dll (SOS debugging extension)

起因

看来人总是健忘的，只能隐约的记得是因为一个关于C#封装的COM接口的问题。于是自己动手封装实现了一下，接着就引发了下面一系列的问题。
一场因为想偷懒引发的那些事——COM的那些事1
一场因为想偷懒引发的那些事——COM的那些事2
一场因为想偷懒引发的那些事——WinDbg的简单用法
一场因为想偷懒引发的那些事——记C# Com接口调用的相关姿势
一场因为想偷懒引发的那些事——C#调用COM的一个进阶使用方式
一场因为想偷懒引发的那些事番外——结构体的一些事

前期须知

本次用到的几个Windbg命令如下：

.chain 查看Windbg 加载的扩展

.load 加载新的扩展到Windbg，通常使用为 .load xxxxxx 启动xxx为包含Dll名的路径

~0s  切换到主线程（通常主线程ID为0）

!clrstack -l  显示托管栈中的局部变量

dps  显示给定范围内的内存信息 相关使用方式可以参考引用中的 dds, dps, dqs (Display Words and Symbols)

.sympath 显示/设置 当前symbol的路径

!threads 显示当前进程内所有的托管进程

g 从当前断点继续

前期准备

CLR调整扩展——SOS

调试.Net程序的时候我们需要SOS.Dll，通过这个东西可以获得CLR内部的信息。

在 .Net Core 2.1 之后 SOS.dll 可以通过 dotnet-sos工具来安装， 而dotnet-sos 这个工具可以MSDN下载或者通过以下命令安装:

dotnet tool install --global dotnet-sos

安装完dotnet-sos工具之后就可以通过命令dotnet-sos install 安装sos.dll， 一般情况下会按照在 %USERPROFILE%\.dotnet\sos\sos.dll 即当前用户目录下的.dotnet\sos\内。

然后在Windbg中使用.load %USERPROFILE%\.dotnet\sos\sos.dll 进行加载，例如.load c:\Users\z\.dotnet\sos\sos.dll 。

Symbol符号设置

如果不想细究，可以直接在Windbg中使用 srv*c:\mysymbol*http://msdl.microsoft.com/download/symbols 该命令设置。如果想了解一下该命令可以参考

微软文档——.sympath

实战开始

话说，好像一开始忽略了怎么下载Windbg的，不过应该都知道怎么下载吧？不知道的 就去Windows store 搜 WinDbg Preview - Installation 下载吧 😏(huaji 逃)。

本次调试程序部分示例代码如下：

 var result = SHCreateItemFromParsingName(@"D:\bios.bin", IntPtr.Zero, IID_IShellItem, out IntPtr si);
 long* address = (long*)*((long*)si.ToPointer());
 Console.WriteLine("111111111");
 Console.ReadLine();

这次的目的是想看到 SHCreateItemFromParsingName 这个返回的COM接口的虚函数表的结构，即代码中si指向的虚函数表。

下面开始三连：

1. 打开Windbg，点击文件。
2. 点击Launch executable。
3. 选择需要调试的exe，确定。

因为会出现下图所示：

然后按下g， 然后会在Console.ReadLine() 停下， 这时候点击Break 在此中断。

先使用 ‘.load’ 指令载入SOS.dll。然后使用 .chain 查看，是否成功，如下图：

然后执行一下命令：

1. ~0s （切到主托管线程）
2. !clrstack -l

可以看到：

之后可以分别用dps 命令看到相应内存地址中的内容，如 dps 0x00007ffa7e74bdf8:

这个就是需要用到的IShellItem的内存布局。

留个问题，那这里是什么呢？：

结束

这篇只是简单的写了一下对Windbg的使用，为了下面的内容做铺垫。（假装为了风格统一弄了一个结尾😋）。

对Windbg的使用，基本上是面向搜索引擎使用方式+文档搜索， 有什么错误请指正。