64位内核第三讲,Windbg的使用.以及命令

墨蓝 2021-11-04 14:31 381阅读 0赞

*  一丶驱动的调试.
    
     *  1.线程
     *  2.断点
     *  3.内存查看命令
     *  4.修改内存命令
     *  5.栈相关操作命令
     *  6.进程线程命令(内核命令)

## 一丶驱动的调试. ##

编写驱动免不了调试.所以这里介绍一下WinDbg的常用命令.

### 1.线程 ###

<table> 
 <thead> 
  <tr> 
   <th>命令</th> 
   <th>作用</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>~*</td> 
   <td>显示所有线程</td> 
  </tr> 
  <tr> 
   <td>~.</td> 
   <td>显示当前活动线程</td> 
  </tr> 
  <tr> 
   <td>~#</td> 
   <td>显示当前异常线程</td> 
  </tr> 
  <tr> 
   <td>~ num</td> 
   <td>显示第num个线程.</td> 
  </tr> 
  <tr> 
   <td>~ num s</td> 
   <td>切换到第num个线程</td> 
  </tr> 
  <tr> 
   <td>~*kb</td> 
   <td>显示所有线程的栈</td> 
  </tr> 
 </tbody> 
</table>

额外命令

<table> 
 <thead> 
  <tr> 
   <th>命令</th> 
   <th>作用</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>.detach</td> 
   <td>取消附加你调试的进程</td> 
  </tr> 
  <tr> 
   <td>.attach pid</td> 
   <td>附加你想调试的进程.需要16进制的pid</td> 
  </tr> 
 </tbody> 
</table>

### 2.断点 ###

<table> 
 <thead> 
  <tr> 
   <th>命令</th> 
   <th>作用</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>bl</td> 
   <td>列出系统中已经有的断点</td> 
  </tr> 
  <tr> 
   <td>bc</td> 
   <td>清除断点例如: bc 1 -10 删除1 -10的断点. bc*清除全部</td> 
  </tr> 
  <tr> 
   <td>bd</td> 
   <td>禁用断点,但不清除.</td> 
  </tr> 
  <tr> 
   <td>be</td> 
   <td>激活断点.</td> 
  </tr> 
  <tr> 
   <td>bp [address][模块名字][偏移]</td> 
   <td>下断点 bp xxModule!DisPatchRead + 0x30</td> 
  </tr> 
  <tr> 
   <td>bu module!fun</td> 
   <td>bu模块名加函数下段点.</td> 
  </tr> 
  <tr> 
   <td>bm module!fun*</td> 
   <td>支持通配符.不支持加偏移下载.</td> 
  </tr> 
  <tr> 
   <td>ba [w len] [r len] [e len] address</td> 
   <td>支持下内存断点 w写断点 len代表长度. address 代表在address下w len长度的内存写断点 r读,e执行.</td> 
  </tr> 
  <tr> 
   <td>bp /p eprocess [address][func]</td> 
   <td>可以对下进程断点,只用xx进程调用这个代码的时候才会断下来</td> 
  </tr> 
  <tr> 
   <td>bp /t ethread [address][fun]</td> 
   <td>对线程下端点.某个线程调用就能断下来.</td> 
  </tr> 
 </tbody> 
</table>

区别:  
bp 下的断点是死断点.函数名字变了但断点还是在哪里.  
bu 自动跟你你的函数进行下段点.不用担心会变.  
在新的windbg中,bp失败.会自动换成bu.

### 3.内存查看命令 ###

dt命令可以查看一些结构

<table> 
 <thead> 
  <tr> 
   <th>命令</th> 
   <th>作用</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>dt nt!_EPROCESS</td> 
   <td>查看nt模块中定义的EPROCESS结构</td> 
  </tr> 
  <tr> 
   <td>dt nt!_EPROCESS -r</td> 
   <td>列出结构中的结构</td> 
  </tr> 
  <tr> 
   <td>dt nt P*xxx</td> 
   <td>通配符方式,列出所有中带有P开头的接结构</td> 
  </tr> 
  <tr> 
   <td>dt Address 结构</td> 
   <td>知道这个结构所在的地址.输入则可以将这块内存解释为这个结构.</td> 
  </tr> 
  <tr> 
   <td>x nt!Zw</td> 
   <td>查找所有Zw开头的函数.</td> 
  </tr> 
 </tbody> 
</table>

内存数据类型显示命令

<table> 
 <thead> 
  <tr> 
   <th>命令</th> 
   <th>作用</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>db [address] [L number]</td> 
   <td>以一个字节显示值和Ascii字符</td> 
  </tr> 
  <tr> 
   <td>dw [address] [L number]</td> 
   <td>内存按照2个字节显示</td> 
  </tr> 
  <tr> 
   <td>dd [address] [L number]</td> 
   <td>内存按照4个字节显示</td> 
  </tr> 
  <tr> 
   <td>dp [address] [L number]</td> 
   <td>32位下等同于dd. 64位下等同于dq</td> 
  </tr> 
  <tr> 
   <td>dq [address] [L number]</td> 
   <td>内存以8个字节显示</td> 
  </tr> 
  <tr> 
   <td>df [address] [L number]</td> 
   <td>内存以4个字节浮点数显示</td> 
  </tr> 
 </tbody> 
</table>

db 0x800000 L4 以一个字节显示内存.显示长度为4 \* sizeof(db )个  
字节.

读取内存中的指针  
我们上面的d开头的命令你只能查看这个值.这个值有可能是存储指针.  
我们除非在进行一次d命令才可以,下面的命令直接就可以

d表示4个字节. q表示8个字节. p 32位下4个字节.64位下8个字节.  
所以p是可以灵活转化的.  
所以上面的命令可以简化为

<table> 
 <thead> 
  <tr> 
   <th>命令</th> 
   <th>作用</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>dpa</td> 
   <td></td> 
  </tr> 
  <tr> 
   <td>dpu</td> 
   <td></td> 
  </tr> 
  <tr> 
   <td>dpp [len]</td> 
   <td>显示局部变量的值</td> 
  </tr> 
  <tr> 
   <td>dps</td> 
   <td></td> 
  </tr> 
  <tr> 
   <td>dv</td> 
   <td>显示局部变量的值,看变量的起始地址是ebp-xxx是</td> 
  </tr> 
 </tbody> 
</table>

p: DWORD或者Qword  
a: Ascii  
u: UNICODE  
所以上面的命令可以解析一下  
如:  
**dpa**  
d: 命令前缀  
p: 根据32位还是64位,分别以4个字节.或者8个字节显示  
a: Ascii吗.  
所以意思就是: 解析地址里面的值.如果是指针.则以32/64位显示为AscII码.

字符相关

<table> 
 <thead> 
  <tr> 
   <th>命令</th> 
   <th>作用</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>da</td> 
   <td>显示ascii值</td> 
  </tr> 
  <tr> 
   <td>du</td> 
   <td>显示unicode值</td> 
  </tr> 
  <tr> 
   <td>ds</td> 
   <td>显示ANSI_STRING的值</td> 
  </tr> 
  <tr> 
   <td>dS</td> 
   <td>显示UNICODE_STRING的值.注意大小写.</td> 
  </tr> 
 </tbody> 
</table>

### 4.修改内存命令 ###

<table> 
 <thead> 
  <tr> 
   <th>命令</th> 
   <th>作用</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>eb [address] value</td> 
   <td>修改一个字节,很重要.可以改代码的机器码.</td> 
  </tr> 
  <tr> 
   <td>ed [address] value</td> 
   <td>修改4个字节</td> 
  </tr> 
  <tr> 
   <td>eD [address] value</td> 
   <td></td> 
  </tr> 
  <tr> 
   <td>ef [address] value</td> 
   <td>修改float内存</td> 
  </tr> 
  <tr> 
   <td>ep [address] value</td> 
   <td>修改指针内存</td> 
  </tr> 
  <tr> 
   <td>eq [address] value</td> 
   <td></td> 
  </tr> 
  <tr> 
   <td>ew [address] value</td> 
   <td></td> 
  </tr> 
  <tr> 
   <td>ea [address] value</td> 
   <td></td> 
  </tr> 
  <tr> 
   <td>eu [address] value</td> 
   <td></td> 
  </tr> 
  <tr> 
   <td>eza[address] value</td> 
   <td></td> 
  </tr> 
  <tr> 
   <td>ezu [address]value</td> 
   <td></td> 
  </tr> 
 </tbody> 
</table>

关于修改内存.只需要熟悉 eb ed即可.

### 5.栈相关操作命令 ###

<table> 
 <thead> 
  <tr> 
   <th>命令</th> 
   <th>作用</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>kv</td> 
   <td>显示当前栈的调用情况.显示函数的前3个参数</td> 
  </tr> 
  <tr> 
   <td>!irp address</td> 
   <td>查看当前Irp的值.</td> 
  </tr> 
  <tr> 
   <td>kp</td> 
   <td>显示当前栈,显示当前函数的所有参数</td> 
  </tr> 
 </tbody> 
</table>

![1197364-20190518223005008-444158290.png][]

<table> 
 <thead> 
  <tr> 
   <th>ChiEbp</th> 
   <th>RetAddre</th> 
   <th>Args</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>上一层的EBP</td> 
   <td>当前函数返回地址</td> 
   <td>当前调用函数的参数</td> 
  </tr> 
 </tbody> 
</table>

### 6.进程线程命令(内核命令) ###

<table> 
 <thead> 
  <tr> 
   <th>命令</th> 
   <th>作用</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>!process 0 0</td> 
   <td>列出<strong>系统进程</strong>信息</td> 
  </tr> 
  <tr> 
   <td>!process 0 7</td> 
   <td>列出<strong>系统进程</strong>详细信息</td> 
  </tr> 
  <tr> 
   <td>!process EPROCESS 7</td> 
   <td>列出<strong>进程</strong>详细信息</td> 
  </tr> 
  <tr> 
   <td>.process /p EPROCESS</td> 
   <td>进入该进程上下文,如果不切换查看他的信息查看不到.</td> 
  </tr> 
  <tr> 
   <td>.thread ETHREAD</td> 
   <td>进入该线程上下文</td> 
  </tr> 
  <tr> 
   <td>!thread ETHREAD</td> 
   <td>查看线程结构</td> 
  </tr> 
  <tr> 
   <td>.logopen d:\xx.txt</td> 
   <td>开关语句. 显示的所有内容都重定向到xx.txt</td> 
  </tr> 
  <tr> 
   <td>.logclose</td> 
   <td>上面设置了开关,下面就要进行关闭.</td> 
  </tr> 
 </tbody> 
</table>

转载于:https://www.cnblogs.com/iBinary/p/10990672.html

[1197364-20190518223005008-444158290.png]: /images/20211104/eee70d875d924b4fb233b5c02a7017d0.png