雙機除錯和windbg的命令
各位大牛以及和我一樣還是菜鳥的朋友們,大家好,今天在除錯驅動程式時,由於要做雙機除錯,所以順便再論壇發給以後需要的朋友,相對網上其他教程我的這個
算是比較詳細了,因為我是看了網上很多相關文章,他們多多少少都還是存在一些問題,可能導致我們無法正常除錯。
我通過結合自己的實踐,做個教程叫大家,Windebug雙機除錯是任何做驅動的程式設計師都必須會的。。。。。。。。。。
廢話不多說,直接來教程:
(1)1.配置VMware(windows XP) >>>>>為VMware工作站新增串列埠
新增完畢,然後在設定時把I/O模式勾了,如果新增完畢沒有出來如圖右邊的選項(虛擬機器禁用了什麼什麼的)我們可以在編輯--->首選項---->裝置
2.修改boot.ini檔案完成配置
如果找不到就設定下檢視檔案加屬性顯示受保護的檔案。
直接開啟C:\boot.ini(如果看不見的同學需要在資料夾選項中開啟顯示隱藏檔案),然後在檔案末尾另起一行新增如下啟動引數:
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professional Debug" /fastdetect /debugport=COM1 /baudrate=115200
3.配置宿主機windbg
在開始裡面找到我們安裝的Windebug圖示,建立桌面快捷方式,滑鼠右鍵,選擇屬性。
在目標後面 空格新增 -b -k com:pipe,port=\\.\pipe\com_1,baud=115200,pipe(記住打空格)。
5.下載除錯所需符號
開啟windbg
現在已經是完事具備,只欠符號.接下來點選 File – Symbol File Path…,填入 SRV*D:\symbol*http://msdl.microsoft.com/download/symbols 後,選中reload.單擊OK(如果是平時除錯您自己的程式,或者存有本地 Symbol,這裡也可填寫本地符號檔案路徑).
+++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
+++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
#重要說明
(1) windbg命令分為標準命令,元命令和擴充套件命令。
標準命令提供最基本的除錯功能,不區分大小寫。如:bp g dt dv k等
元命令提供標準命令沒有提供的功能,也內建在除錯引擎中,以.開頭。如.sympath .reload等
擴充套件命令用於擴充套件某一方面的除錯功能,實現在動態載入的擴充套件模組中,以!開頭。如!analyze等
(2) 進入除錯狀態時,直接回車可重複執行上一條命令;按上下方向鍵可以瀏覽和選擇以前輸入過的命令
(3) 神奇的Tab鍵,進行命令補全;ESC清除當前命令輸入框中的文字
(4) 使用;作為分隔符,可以在同一行輸入多條命令
(5) 上圖紅色框中的“0:000”。【0為當前除錯會話的程序號;000為除錯會話的執行緒號】
(6) 當命令提示符顯示*BUSY*時,即使命令輸入框可以輸入命令,但輸入的命令不會立即被執行,要等windbg空閒時才能執行。
可使用Ctrl + Break來終止一個長時間未完成的命令
(7) 一次可以執行多條命令,命令間用分號;分隔 【如:bp main;bp `view.cpp:120`】,一次打2個斷點
(8) 為了保證windbg流暢執行,在除錯時,儘量不要開啟Watch、Locals、Registers、Call Stack、Processes and Threads視窗,直接用command來獲取資訊
#啟動除錯
windbg -I // 將windbg設定成預設偵錯程式
windbg "notepad.exe" arguments // 使用windbg啟動除錯notepad.exe
windbg -p 4200 // 將windbg附加到一個正在執行的pid為4200的程序上
windbg -pn "notepad.exe" // 將windbg附加到一個正在執行的名為notepad.exe的程序上
windbg –z "c:\mydumpfile.dmp" // 除錯mydumpfile.dmp檔案
.opendump "c:\mydumpfile.dmp" // 除錯mydumpfile.dmp檔案
.attach 0n4220 // 4220為十進位制pid,使用該命令附加除錯時,必須先存在一個除錯會話
.detach // 分離除錯
.restart // 重啟並除錯
.kill // 強制結束當前除錯
q // 結束當前除錯會話,回到基礎工作空間,並結束除錯程序
qd // 結束當前除錯會話,回到基礎工作空間,但不結束除錯程序
#獲取幫助
? // 打印出所有標準命令
.help // 打印出所有元命令
.hh // 開啟windbg的chm幫助檔案
.hh bp // 開啟windbg的chm幫助檔案bp命令介紹頁
command /? // 列印命令command具體引數用法
#註釋符
* // 註釋整行
$$ // 註釋(遇到分號結束)
#配置除錯環境
注:如果被除錯的模組(無論移動到本機的何處)是用本機程式碼編譯產生的,都不需要進行符號和原始碼的路徑設定
.sympath // 檢視當前符號查詢路徑
.sympath c:\symbols // 將符號查詢路徑設為:c:\symbols
.sympath+ c:\symbols // 將c:\symbols新增到符號查詢路徑集合中
.symfix // 將符號查詢路徑設為:SRV*WinDbg安裝目錄\Sym*http://msdl.microsoft.com/download/symbols
.symfix f:\symbols // 將符號查詢路徑設為:SRV*f:\symbols*http://msdl.microsoft.com/download/symbols
.symfix+ f:\symbols // 將SRV*f:\symbols*http://msdl.microsoft.com/download/symbols新增到符號查詢路徑集合中
.srcpath // 檢視當前原始檔查詢路徑
.srcpath f:\src // 將原始檔查詢路徑設為:f:\src 注:必須勾選上選單“Debug”-“Source Mode”;另外pdb須與exe、dll等執行模組匹配上
.srcpath+ f:\src // 將f:\src新增到原始檔查詢路徑集合中
.exepath // 檢視可執行檔案查詢路徑
.exepath f:\bin // 將可執行檔案查詢路徑設為:f:\bin
.exepath+ f:\bin // 將f:\bin新增到可執行檔案查詢路徑集合中
#系統資訊
vertarget // os資訊
!cpuid // cpu資訊
#wow64模式 【x64版windbg除錯win32程式】
.effmach // 檢視當前除錯mode:x86、x64等
.load wow64exts // [!load wow64exts] 載入wow64exts.dll模組 注:!sw就是wow64exts中的命令
.unload wow64exts // [!unload wow64exts] 解除安裝wow64exts.dll模組
!sw // [!wow64exts.sw] 在多個mode:x86、x64上進行迴圈切換 注:如果win32程式在x64的mode下,會看到地址是64位的
!k // [!wow64exts.k] 列印32位、64位堆疊
!k 5 // [!wow64exts.k 5] 列印32位、64位堆疊,棧幀個數為5
!info // [!wow64exts.info] 輸出wow64相關的PEB、TEB和TLS基本資訊
!r // [!wow64exts.r] 輸出處理器當前上下文資訊
!r dumpTest!main // [!wow64exts.r dumpTest!main] 輸出main函式地址的上下文資訊
#符號載入與檢視
除了使用ld和.reload命令直接載入符號檔案,某些使用符號的命令也可以觸發偵錯程式來載入符號,如:棧回溯命令(k*)和反彙編命令(u)等。
值得說明的是,windbg預設使用的是懶惰式符號載入策略,當它收到模組載入事件時,它通常是不會載入符號的,符號狀態顯示為deferred(延遲載入)。
.symopt // 顯示當前所有符號選項
.symopt+ flags // 新增符號選項
.symopt- flags // 刪除符號選項
!sym noisy // 啟用詳細符號載入(noisy symbol loading)顯示
!sym quiet // 禁止詳細符號載入顯示
ld * // 為所有模組載入符號
ld kernel32 // 載入kernel32.dll的符號
.reload // 為所有已載入模組載入符號資訊
.reload /i // 重新載入不匹配符號的模組【dmp檔案沒有對應的pdb時使用】
.reload /i TGame.exe // 重新載入不匹配符號的TGame.exe
.reload /f /v // f:強制立即模式(不允許延遲載入) v:詳細模式
.reload /f @"c:\windows\System32\verifier.dll" // 為指定模組載入符號資訊
.reload /f TGame.exe // 為TGame.exe載入符號資訊
.reload /u TGame.exe // 解除安裝TGame.exe及其載符號資訊
.chain // 顯示已經載入進來的模組
x *! // 列出所有模組對應的符號資訊
lm // 列出所有模組(載入和未載入)對應的符號資訊
lmv // 列出所有模組(載入和未載入)對應的符號資訊
lmvm ntdll // 檢視ntdll.dll的詳細資訊(注意exe、dll等都不要帶字尾名)
x ConsoleTest!* // 列出ConsoleTest模組中的所有符號
x ConsoleTest!add* // 列出ConsoleTest模組中的所有add開頭的符號
x /t /v ConsoleTest!* // 帶資料型別、符號型別和大小資訊,列出ConsoleTest模組中的所有符號
x kernel32!*LoadLib* // 列出kernel32模組中所有含LoadLib字樣的符號
#程序
| // 列出除錯程序
|* // 列出除錯程序
|N // 參看序數為N的除錯程序
|Ns // 切換序數為N的程序為當前除錯程序
#執行緒
~ // 列出執行緒
~* // 所有執行緒
~* k // 所有執行緒堆疊資訊
~* r // 所有執行緒暫存器資訊
~. // 檢視當前執行緒
~0s // 檢視主執行緒
~# // 檢視導致當前事件或異常的執行緒
~N // 檢視序數為N的執行緒
~~[n] // 檢視執行緒ID為n的執行緒
~Ns // 切換序數為N的執行緒為當前除錯執行緒
~N f // 凍結序數為N的執行緒
~N u // 解凍序數為N的執行緒
~N n // Suspend序數為N的執行緒
~N m // Resume序數為N的執行緒
~* e !gle // 顯示所有執行緒最後的一個錯誤資訊 e後可以為任意windbg命令
.ttime // 檢視當前執行緒時間資訊
!runaway //顯示當前程序的所有執行緒時間資訊
#斷點
bl // 列出所有斷點
bc * // 清除所有斷點
bc 1 // 清除1號斷點
bc 1 2 5 // 清除1號、2號、5號斷點
be * // 啟用所有斷點
be 1 // 啟用1號斷點
be 1 2 5 // 啟用1號、2號、5號斷點
bd * // 禁用所有斷點
bd 1 // 禁用1號斷點
bd 1 2 5 // 禁用1號、2號、5號斷點
bp 7c801b00 // 在7c801b00地址處放置一個斷點
bp `ConsoleTest.cpp:36` // 在ConsoleTest.cpp的36行處放置一個斷點
bp main // 在main函式的起始處放置一個斷點
bp CSecondLoader::CSecondLoader // 在CSecondLoader的建構函式處放置一個斷點
bp TestCommon! CTest::add // 在TestCommon.dll的Test.cpp檔案的CTest::add()函式起始處放置一個斷點
bp `ConsoleTest.cpp:40` ".if (poi(pVar)>5) {}; {g}" // ".if (Condition) {Optional Commands}; {g}" 條件斷點 pVar指標指向的值>5,執行空語句(;),斷住 否則繼續執行
bp `ConsoleTest.cpp:40` "j (poi(pVar)>5) ' '; 'g'" // "j (Condition) 'Optional Commands'; 'g'" j為條件表示式:條件斷點 pVar指標指向的值>5,執行空語句(;),斷住 否則繼續執行
注:Condition表示式語法預設的是MASM表示式語法。使用複雜C++表示式時我們需要用@@c++()將表示式包圍住;如:"j @@c++(*pVar>5) ' '; 'g'"
---------------------------------
x表示的一個地址
hi(x) 高16 bits
low(x) 低16 bits
by(x) 返回第一個byte
wo(x) 返回第一個word
dwo(x) 返回第一個dword
qwo(x) 返回第一個4 word(Quad-word)
poi(x) 返回第一個指標所指向的值
---------------------------------
bp `ConsoleTest.cpp:40` "j @eax = 0xa3 ''; 'g'" // j為條件表示式:條件斷點 暫存器eax的值為0xa3時斷住
bp kernel32!CreateFileA // 在系統API的CreateFileA函式處放置一個斷點
bp kernel32!CreateFileA ".echo;.printf\"CreateFileA(%ma,%p,%p), ret=\",poi(esp+4),dwo(esp+8),dwo(esp+c);gu;.printf\"%N\",eax;.echo;g" // 不斷住程序情況下,列印所有的CreateFileA呼叫
bp advapi32!RegOpenKeyExA ".echo;.printf\"RegOpenKeyExW(%p,\\\"%ma\\\",%N,%N,%p) returned: \", dwo(esp+4), poi(esp+8), dwo(esp+c), dwo(esp+10), dwo(esp+14);gu;.printf\"%N\",eax;.echo;g" // 不斷住程序情況下,列印所有的RegOpenKeyExA呼叫(開啟登錄檔鍵值)
bu // 儲存斷點,其用法和bp一樣
bm add_* // 匹配add_開頭的函式,並在這些函式起始處都打上斷點
ba w4 0x0483dfe0 // 當對0483dfe0地址寫操作時停下,前面要帶上0x,否則會報錯
// ba [r|w|e] [Size] Addr [r=read/write, w=write, e=execute], Size=[1|2|4 bytes]
#除錯執行控制
g // Go(F5)
gH // 執行gH命令強制讓偵錯程式返回已經處理了這個異常。【Go with Exception Handled】
// 系統收到這個回覆後會停止分發異常(因為偵錯程式聲稱已經處理了異常),恢復除錯目標繼續執行,
// 但由於異常條件仍在,所以還會產生異常,於是再次分發,WinDBG再次中斷到命令模式。
gN // 【Go with Exception Not Handled】
// 執行gN命令強制讓偵錯程式返回沒有處理了這個異常,那麼系統會進一步分發該異常,
// 如果沒有其他偵錯程式也不處理,最後系統會彈出程式終止對話方塊。
gu // 執行到當前函式完成時停下 【Go Up】
Ctrl+Break // 暫停正在執行的程式
p // 單步執行(F10) 【Step】
p 2 // 2為步進數目
pc // 執行到下一個函式呼叫處停下 【Step to Next Call】
pa 7c801b0b // 執行到7c801b0b地址處停下 【Step to Adress】
t // Step into(F11) 【Trace】
tc // 執行到下一個進入點處停下 【Trace to Next Call】
ta 7c801b12 // 執行到7c801b12地址處停下 【Trace to Adress】
# 檢視控制代碼
!handle // 檢視所有控制代碼的ID
!handle 000007f8 1 // 檢視ID為000007f8的控制代碼的型別
!handle 000007f8 4 // 檢視ID為000007f8的控制代碼的名稱
!handle 0 5 // 檢視所有控制代碼的型別和名稱
# 檢視變數
=== 0n(十進位制) 0x(十六進位制) 0t(8進位制) 0y(2進位制) 可以使用n [8|10|16]命令來修改數值進製表示方式(輸入n可檢視當前進位制,預設為16進位制)===
-- VC6.0的Link選項需要將/pdbtype:sept改為/pdbtype:con, 否則生成的pdb檔案中將不包含如自定義結構體,類等資訊
dt nRet // 檢視區域性變數nRet的型別與值(函式引數變數請用dv命令)
dt myApp!g_app // 表示顯示myApp程序裡全域性變數g_app的記憶體佈局(注:vc6見上述說明)
dt WindbgTest!CTest // 檢視模組WindbgTest的CTest的記憶體佈局(注:vc6見上述說明)
dt WindbgTest!CTest 0x0041f8d4 // 將0x0041f8d4地址處內容按照模組WindbgTest的CTest的記憶體佈局來解析(注:vc6見上述說明)
Windbg預設會用暫存器ECX裡面的值作為this指標地址,其實這樣是有時候是錯誤的。
有些C++編譯器在做程式碼優化之後會把 this指標放在其他暫存器裡面,比如ESI。
所以在除錯的時候還需要讀一下彙編程式碼來確定this 在哪個暫存器裡面。
比如我們看到 MOV EAX, dword ptr [ESI + 0x48h](獲取當前物件記憶體偏移為0x48h處的4位元組成員變數),就可以判斷ESI 是this 指標。
這時可以通過如下命令列印this的記憶體結構:dt -b 模組名!類名 @esi
dt this // 檢視this指標的型別及成員變數(注:vc6見上述說明)
dt -b this // 檢視this指標的型別及成員變數,如果某一成員變數為結構體,則把其結構成員也一一打印出來
dt _PEB @$PEB // 檢視PEB(process's environment block)記憶體結構
?? this->m_nPen // 檢視成員變數的值(注:vc6見上述說明)
?? this // 檢視this指標中的成員變數(注:vc6見上述說明)
? nCount // 顯示區域性變數nCount的地址(前面4198608為10進製表示地址,004010d0為16進製表示地址) 形如:Evaluate expression: 4198608 = 004010d0
? HeapTest!CTest::Add // 顯示HeapTest模組中CTest類中的Add函式地址
dv // 顯示當前函式內所有區域性變數,函式引數的值
dv n* // 顯示當前函式內n開頭的所有區域性變數,函式引數的值
dv nCount // 檢視區域性變數nCount的值
dv a // 檢視函式引數變數a的值
dv /t /i /V /a|/n|/z
/*****************************************
更加詳細地顯示當前函式內所有區域性變數,函式引數資訊
i = type (local, global, parameter)
t = data type
V = memory address or register location
-----------------------
a = sort by Addr, n = sort by name, z = sort by size
*****************************************/
x // 用法和dv命令一致,顯示當前函式內所有區域性變數,函式引數的地址與值
#呼叫堆疊
k // 顯示當前呼叫堆疊
kn // 帶棧編號顯示當前呼叫堆疊
kb // 打印出前3個函式引數的當前呼叫堆疊
02a9ffec 00000000 01e511f9 0174c570 00000000 kernel32!BaseThreadStart+0x37
----------------------------------------------
kernel32!BaseThreadStart+0x37 當前函式kernel32!BaseThreadStart執行的指令地址。
01e511f9 0174c570 00000000 引數相關的數值【從左到右 -- 引數1 引數2:offset為sizeof(引數1) 引數3:offset為sizeof(引數1)+sizeof(引數2) ...】。注:如果是成員函式,this指標通過ecx或其他暫存器來傳遞
02a9ffec 00000000是 ebp 和 上層函式返回地址。
======================================================
Windows 7 Ultimate Service Pack 1 [Build 6.1.7601]
CPU: Intel(R) Core(TM) i3-2100 CPU @ 3.10GHz
《Game》 20.15.1112 6EF76A43E6B1DD58907F3E066506E918
----------------------------------------
Type: EXCEPTION_ACCESS_VIOLATION//非法地址訪問異常
Error: Read address 0x00074685//讀取0x00074685地址出錯(該地址對應的記憶體頁,程序無讀取許可權)
Address: 64DCAF68//崩潰發生的指令地址
CallStack:
//0x64D90000為模組MSVCR90.dll的基地址,3AF68為崩潰指令在模組中的偏移值,(0492B5D0,00074685,0000000C,00462482)為引數資訊
0x64D90000[3AF68] MSVCR90.dll: (0492B5D0,00074685,0000000C,00462482)
0X00400000[11158A] tgame.exe: (0492B5D0,00074685,00000000,00000000)
kb 5 // 只顯示最上的5層呼叫堆疊
kv // 在kb的基礎上增加了函式呼叫約定等資訊
kp // 顯示每一層函式呼叫的完整引數,包括引數型別、名字、取值(必須是完整符號的情況下,private symbols);注意:若程式被優化,這些值不一定對
kd // 列印堆疊的地址
.frame // 顯示當前棧幀
.frame n // 設定編號n的棧幀為當前棧幀(n為16進位制數)
.frame /r n // 設定編號n的棧幀為當前棧幀(n為16進位制數) 並顯示暫存器變數
!uniqstack // 顯示所有執行緒的呼叫堆疊
#檢視彙編
u . // 反彙編當前ip暫存器地址的後8條指令
u $ip // 反彙編當前ip暫存器地址的後8條指令
ub . // 反彙編當前ip暫存器地址的前8條指令
ub $ip // 反彙編當前ip暫存器地址的前8條指令
u main+0x29 L30 // 反彙編main+0x29地址的後30條指令
u // 反編譯下8條指令
uf CTest::add // 反彙編CTest類的add函式
uf /c main // 反彙編main函式,通過/c可以檢視main函式中的函式呼叫(call)都有哪些
ub 000c135d L20 // 檢視地址為000c135d指令前的20條指令內容
#暫存器
r // 顯示所有暫存器資訊及發生core所在的指令
r eax, edx // 顯示eax,edx暫存器資訊
r eax=5, edx=6 // 對暫存器eax賦值為5,edx賦值為6
#記憶體
!address 7ffd8000 // 檢視7ffd8000地址處記憶體頁屬性
dd /c 5 7c801e02 // 從7c801e02記憶體處開始以dword為單位顯示記憶體(寬度為:5)【預設顯示128位元組長度的內容】
dd /c 5 7c801e02 L8 // 從7c801e02記憶體處開始以dword為單位顯示記憶體(寬度為:5)【顯示8個dword】
da /c 100 7c80ff03 // 從7c80ff03記憶體處開始顯示Ascii字串(寬度為:100)
du /c 100 7c8022f5 // 從7c8022f5記憶體處開始顯示Unicode字串(寬度為:100)
/*****************************************
d[a| u| b| w| W| d| c| q| f| D] [/c 列數] [地址]
a = ascii chars
u = Unicode chars
b = byte + ascii
w = word (2b)
W = word (2b) + ascii
d = dword (4b)
c = dword (4b) + ascii
q = qword (8b)
f = floating point (single precision - 4b)
D = floating point (double precision - 8b)
*****************************************/
dyb /c 3 7c801e02 // 從7c801e02記憶體處開始,顯示byte及二進位制(寬度為:3)
/*****************************************
dy[b | d] .. // b = binary+byte d = binary+dword
*****************************************/
s -w 522e0000 L0x100 0x1212 0x2212 0x1234 // 表示在起始地址522e0000之後的0x100個單位內搜尋0x1212 0x2212 0x1234系列的起始地址
s -u 522e0000 527d1000 "web" //表示在522e0000 和527d1000之間搜尋Unicode 字串”web”
ea 0x445634 "abc" // 表示在0x445634地址寫入Ascii字串abc, 不包含結束符0
eza 0x445634 "abc" // 表示在0x445634地址寫入Ascii字串abc, 包含結束符0
eu 0x445634 "abc" // 表示在0x445634地址寫入Unicode字串abc, 不包含結束符0
ezu 0x445634 "abc" // 表示在0x445634地址寫入Unicode字串abc, 包含結束符0
ed nCounter 80 // 將變數nCounter的值修改為80(注:80為10進位制還是16進位制,還是其他,取決於當前進位制)
#檢視堆(Heap)
!heap -s // 顯示程序堆的個數(每一項是一個堆,也就是_HEAP結構指標,對應的API是HeapCreate)
Heap Flags Reserv Commit Virt Free List UCR Virt Lock Fast
(k) (k) (k) (k) length blocks cont. heap
-----------------------------------------------------------------------------
00140000 50000062 1024 12 12 1 1 1 0 0 L
00240000 50001062 64 24 24 15 1 1 0 0 L
00250000 50008060 64 12 12 10 1 1 0 0
00380000 50001063 64 12 12 4 2 1 0 bad
-----------------------------------------------------------------------------
dt _HEAP 00140000 // 選取一個堆的地址,列印該堆的記憶體結構
ntdll!_HEAP
+0x000 Entry : _HEAP_ENTRY
+0x008 Signature : 0xeeffeeff
+0x00c Flags : 0x50000062
+0x010 ForceFlags : 0x40000060
+0x014 VirtualMemoryThreshold : 0xfe00
+0x018 SegmentReserve : 0x100000
+0x01c SegmentCommit : 0x2000
+0x020 DeCommitFreeBlockThreshold : 0x200
+0x024 DeCommitTotalFreeThreshold : 0x2000
+0x028 TotalFreeSize : 0xaf
+0x02c MaximumAllocationSize : 0x7ffdefff
+0x030 ProcessHeapsListIndex : 1
+0x032 HeaderValidateLength : 0x608
+0x034 HeaderValidateCopy : (null)
+0x038 NextAvailableTagIndex : 0
+0x03a MaximumTagIndex : 0
+0x03c TagEntries : (null)
+0x040 UCRSegments : (null)
+0x044 UnusedUnCommittedRanges : 0x00140598 _HEAP_UNCOMMMTTED_RANGE
+0x048 AlignRound : 0x17
+0x04c AlignMask : 0xfffffff8
+0x050 VirtualAllocdBlocks : _LIST_ENTRY [ 0x140050 - 0x140050 ]
+0x058 Segments : [64] 0x00140640 _HEAP_SEGMENT
+0x158 u : __unnamed
+0x168 u2 : __unnamed
+0x16a AllocatorBackTraceIndex : 0
+0x16c NonDedicatedListLength : 1
+0x170 LargeBlocksIndex : (null)
+0x174 PseudoTagEntries : (null)
+0x178 FreeLists : [128] _LIST_ENTRY [ 0x142a90 - 0x142a90 ]
+0x578 LockVariable : 0x00140608 _HEAP_LOCK
+0x57c CommitRoutine : (null)
+0x580 FrontEndHeap : 0x00140688 Void
+0x584 FrontHeapLockCount : 0
+0x586 FrontEndHeapType : 0x1 ''
+0x587 LastSegmentIndex : 0 ''
!heap -a 00140000 // 選取一個堆的地址,列印該堆的資訊,比上面列印記憶體命令更詳細直觀
Index Address Name Debugging options enabled
1: 00140000
Segment at 00140000 to 00240000 (00003000 bytes committed)
Flags: 50000062
ForceFlags: 40000060
Granularity: 8 bytes
Segment Reserve: 00100000
Segment Commit: 00002000
DeCommit Block Thres: 00000200
DeCommit Total Thres: 00002000
Total Free Size: 000000af
Max. Allocation Size: 7ffdefff
Lock Variable at: 00140608
Next TagIndex: 0000
Maximum TagIndex: 0000
Tag Entries: 00000000
PsuedoTag Entries: 00000000
Virtual Alloc List: 00140050
UCR FreeList: 00140598
FreeList Usage: 00000000 00000000 00000000 00000000
FreeList[ 00 ] at 00140178: 00142a90 . 00142a90
00142a88: 00050 . 00578 [14] - free
Segment00 at 00140640:
Flags: 00000000
Base: 00140000
First Entry: 00140680
Last Entry: 00240000
Total Pages: 00000100
Total UnCommit: 000000fd
Largest UnCommit:000fd000
UnCommitted Ranges: (1)
00143000: 000fd000
Heap entries for Segment00 in Heap 00140000
00140000: 00000 . 00640 [01] - busy (640)
00140640: 00640 . 00040 [01] - busy (40)
00140680: 00040 . 01818 [07] - busy (1800), tail fill - unable to read heap entry extra at 00141e90
00141e98: 01818 . 00040 [07] - busy (22), tail fill - unable to read heap entry extra at 00141ed0
00141ed8: 00040 . 00050 [07] - busy (36), tail fill - unable to read heap entry extra at 00141f20
00141f28: 00050 . 002f0 [07] - busy (2d8), tail fill - unable to read heap entry extra at 00142210
00142218: 002f0 . 00330 [07] - busy (314), tail fill - unable to read heap entry extra at 00142540
00142548: 00330 . 00330 [07] - busy (314), tail fill - unable to read heap entry extra at 00142870
00142878: 00330 . 00040 [07] - busy (24), tail fill - unable to read heap entry extra at 001428b0
001428b8: 00040 . 00028 [07] - busy (10), tail fill - unable to read heap entry extra at 001428d8
001428e0: 00028 . 00058 [07] - busy (40), tail fill - unable to read heap entry extra at 00142930
00142938: 00058 . 00058 [07] - busy (40), tail fill - unable to read heap entry extra at 00142988
00142990: 00058 . 00060 [07] - busy (44), tail fill - unable to read heap entry extra at 001429e8
001429f0: 00060 . 00020 [07] - busy (1), tail fill - unable to read heap entry extra at 00142a08
00142a10: 00020 . 00028 [07] - busy (10), tail fill - unable to read heap entry extra at 00142a30
00142a38: 00028 . 00050 [07] - busy (36), tail fill - unable to read heap entry extra at 00142a80
00142a88: 00050 . 00578 [14] free fill
00143000: 000fd000 - uncommitted bytes.
#虛擬記憶體
!vadump // 檢視虛擬記憶體佈局
#設定事件發生時windbg行為
sx // 顯示windbg遇到每個異常和事件時的行為
sxr // 將所有異常和事件過濾器的狀態重設為預設值
sxe ld // 當載入模組時,立即中斷(Break)到偵錯程式中(第一次處理機會)
sxe ud // 當解除安裝模組時,windbg不會在第一次處理機會時中斷(雖然會顯示資訊)。如果其他錯誤處理器沒有處理掉該異常,執行會停止下來並中斷(Break)到windbg中(第二次處理機會)
sxn et // 當執行緒退出時,windbg會打印出一條訊息
sxi ct // 當執行緒建立時,windbg不中斷也不列印訊息
#dump輸出
.dump /ma "d:\mydmpfile.dmp" // 將當前除錯程序輸出Dump檔案
#其他元命令
.tlist // 顯示所有程序
.cls // 清除螢幕
.logopen c:\1.log // 將command內容輸出到c:\1.log檔案中
#其他擴充套件命令
!analyze -v // 詳細顯示當前異常資訊
!peb // 格式化輸出PEB資訊(process's environment block)
PEB at 7efde000
InheritedAddressSpace: No
ReadImageFileExecOptions: No
BeingDebugged: No
ImageBaseAddress: 00f20000
Ldr 76fa0200
Ldr.Initialized: Yes
Ldr.InInitializationOrderModuleList: 003a4d78 . 003e4a00
Ldr.InLoadOrderModuleList: 003a4ce8 . 003e49f0
Ldr.InMemoryOrderModuleList: 003a4cf0 . 003e49f8
Base TimeStamp Module
f20000 54772f74 Nov 27 22:04:36 2014 C:\Program Files (x86)\Citrix\ICA Client\wfcrun32.exe
76ea0000 5684255b Dec 31 02:41:31 2015 C:\windows\SysWOW64\ntdll.dll
74790000 568425ff Dec 31 02:44:15 2015 C:\windows\syswow64\kernel32.dll
75b00000 56842600 Dec 31 02:44:16 2015 C:\windows\syswow64\KERNELBASE.dll
... ...
71d40000 55a5cad6 Jul 15 10:52:06 2015 C:\windows\System32\msxml6.dll
71d20000 4a5bdb38 Jul 14 09:11:20 2009 C:\windows\System32\bcrypt.dll
71ce0000 5600ce51 Sep 22 11:43:13 2015 C:\windows\SysWOW64\bcryptprimitives.dll
SubSystemData: 00000000
ProcessHeap: 003a0000
ProcessParameters: 003a2188
CurrentDirectory: 'C:\windows\system32\'
WindowTitle: '"C:\Program Files (x86)\Citrix\ICA Client\wfcrun32.exe"'
ImageFile: 'C:\Program Files (x86)\Citrix\ICA Client\wfcrun32.exe'
CommandLine: '"C:\Program Files (x86)\Citrix\ICA Client\wfcrun32.exe" -Embedding'
DllPath: 'C:\Program Files (x86)\Citrix\ICA Client;C:\windows\system32;C:\windows\system;C:\windows;
Environment: 003a07f0
=::=::\
ALLUSERSPROFILE=C:\ProgramData
APPDATA=C:\Users\kekec\AppData\Roaming
CommonProgramFiles=C:\Program Files (x86)\Common Files
CommonProgramFiles(x86)=C:\Program Files (x86)\Common Files
CommonProgramW6432=C:\Program Files\Common Files
COMPUTERNAME=KEKEC-PC1
ComSpec=C:\windows\system32\cmd.exe
DXSDK_DIR=D:\Program Files (x86)\Microsoft DirectX SDK (June 2010)\
FP_NO_HOST_CHECK=NO
HOMEDRIVE=C:
HOMEPATH=\Users\kekec
include=D:\Program Files (x86)\Microsoft Visual Studio\VC98\atl\include;D:\Program Files (x86)\Microsoft Visual Studio\VC98\mfc\include;
lib=D:\Program Files (x86)\Microsoft Visual Studio\VC98\mfc\lib;D:\Program Files (x86)\Microsoft Visual Studio\VC98\lib
LOCALAPPDATA=C:\Users\kekec\AppData\Local
LOGONSERVER=\\GM-HEIJI
MSDevDir=D:\Program Files (x86)\Microsoft Visual Studio\Common\MSDev98
NUMBER_OF_PROCESSORS=8
OS=Windows_NT
Path=C:\ProgramData\Oracle\Java\javapath;C:\windows\system32;C:\windows;C:\Program Files\Intel\Intel(R) Management Engine Components\DAL;
PATHEXT=.COM;.EXE;.BAT;.CMD;.VBS;.VBE;.JS;.JSE;.WSF;.WSH;.MSC
PROCESSOR_ARCHITECTURE=x86
PROCESSOR_ARCHITEW6432=AMD64
PROCESSOR_IDENTIFIER=Intel64 Family 6 Model 60 Stepping 3, GenuineIntel
PROCESSOR_LEVEL=6
PROCESSOR_REVISION=3c03
ProgramData=C:\ProgramData
ProgramFiles=C:\Program Files (x86)
ProgramFiles(x86)=C:\Program Files (x86)
ProgramW6432=C:\Program Files
PSModulePath=C:\windows\system32\WindowsPowerShell\v1.0\Modules\
PUBLIC=C:\Users\Public
SESSIONNAME=Console
SystemDrive=C:
SystemRoot=C:\windows
TEMP=C:\Users\kekec\AppData\Local\Temp
TMP=C:\Users\kekec\AppData\Local\Temp
USERDNSDOMAIN=TENCENT.COM
USERDOMAIN=TENCENT
USERNAME=kekec
USERPROFILE=C:\Users\kekec
VS120COMNTOOLS=D:\Program Files (x86)\Microsoft Visual Studio 12.0\Common7\Tools\
VS80COMNTOOLS=D:\Program Files (x86)\Microsoft Visual Studio 8\Common7\Tools\
VS90COMNTOOLS=d:\Program Files (x86)\Microsoft Visual Studio 9.0\Common7\Tools\
windir=C:\windows
!gle // 列印當前執行緒最近的錯誤資訊LastError
!gle -all // 列印所有執行緒的最近的錯誤資訊
!error 897// 顯示錯誤碼為897的詳細描述資訊