【转帖】windbg常用命令集

深藏阁楼爱情的钟 2022-08-23 15:56 346阅读 0赞

**windbg常用命令集**

!strct eprocess

dt -v -r ntdll!\_peb （windows2003下改为:dt -v -r nt!\_peb）

dt \_eprocess

dt -v -r \_eprocess (加上-v -r显示详细结构)

dt nt!\_driver\_object

列出可以调试的驱动程序

lm t n （以前是!drivers）

加入源代码调试

file->source file path

设置符号文件

file->symbol file path

给驱动程序下断点

设置好symbol file path和source file path

然后file->open source file打开调试驱动程序的源代码。

在对应的代码上按f9

下断点后，程序对应的行会变成红色。

注意：sys是通过checked environment生成

查看DeviceIoControl 的inputbuffer

通过上面的方法在npid＝\*((DWORD \*)InputBuffer)下断点。然后，在windbg的watch上面加入nPid已经InputBuffer。查看到InputBuffer为0xxxxx，然后在windbg上输入：dc 0xxxxx。就可以查看到InputBuffer对应的值。

产生如下错误：

\*\*\* Fatal System Error: 0x0000007e  
(0xC0000005,0xF9FDB318,0xFA06EB88,0xFA06E884)

找到原因：Fatal System Error: 0x0000007e错误对应

Bug Check 0x7E: SYSTEM\_THREAD\_EXCEPTION\_NOT\_HANDLED

然后看0xC0000005对应

0xC0000005: STATUS\_ACCESS\_VIOLATION  
A memory access violation occurred.

所以结论是：A memory access violation occurred.

!process命令

!process 0 0 查看系统全部进程信息 （在虚拟机器远程调试才行）

!process cid ParentCid 其中cid就是pid的十六进制表示

查看特定地址的eprocess结构内容

dt \_eprocess 81bef448

**1.** **查询符号**

kd> x nt!KeServiceDescriptorTable\*

8046e100 nt!KeServiceDescriptorTableShadow = <no type information>

8046e0c0 nt!KeServiceDescriptorTable = <no type information>

kd> ln 8046e100

(8046e100) nt!KeServiceDescriptorTableShadow | (8046e140) nt!MmSectionExtendResource

Exact matches:

nt!KeServiceDescriptorTableShadow = <no type information>

**2.** **下载系统文件的符号**

symchk c:/winnt/system32/ntoskrnl.exe /s srv\*c:/symbols\*http://msdl.microsoft.com/download/symbols

SYMCHK: FAILED files = 0

SYMCHK: PASSED + IGNORED files = 1

**3.** **查看** **event** **对象的信号状态**

!object /BaseNamedObjects

dt -b nt!\_KEVENT xxxxxxxx

**4.** **查看** **LastError** **值**

!gle

**5.** **指定进制形式，****0x/0n/0t/0y** **分别表示** **16/10/8/2** **进制**

? 0x12345678+0n10

Evaluate expression: 305419906 = 12345682

**6.** **过滤命令窗口输出信息**

.prompt\_allow -reg +dis -ea -src -sym

**7. .formats** **命令**

以多种格式显示表达式的值

0:000> .formats @eax

Evaluate expression:

Hex: 00181eb4

Decimal: 1580724

Octal: 00006017264

Binary: 00000000 00011000 00011110 10110100

Chars: ....

Time: Mon Jan 19 15:05:24 1970

Float: low 2.21507e-039 high 0

Double: 7.80981e-318

**8.** **异常处理相关**

有 sx, sxd, sxe, sxi, sxn, sxr 几条命令可用来设置异常和事件的处理方式。比如：

0:000> sxe ld

可以在加载 dll 时中断下来。

**9.** **内核调试时切换进程**

lkd> !process 0 0

lkd> .process xxxxxxxx

**10.** **可在桌面上建立一个** **WinDbg.exe** **的快捷方式，然后在该快捷方式的属性力设置如下命令行**

C:/WinDBG/windbg.exe -c ".prompt\_allow +dis -reg -ea -src -sym; .enable\_unicode 1; .enable\_long\_status 1; .logopen /t c:/dbglog/dbglog.txt"

**11.** **本机内核调试**

通过File/Kernel Debug… 菜单可以打开内核调试选择窗口，选择最后一个 Local 选项页，确定后可以以内核方式调试本地机器。这时所有会挂起系统的命令都用不了了，但可以读写系统内存。另外，有一个方便的用途是用来查看系统结构，比如：dt nt!\_EPROCESS。

转自：http://hi.baidu.com/thesum/blog/item/2b1e3d951fb5b30c7bf4808f.html

附：WinDbg 10大调试命令

**u: 反编译机器码**  
在检查crash dump是否正确时，你已经用过了此命令，u命令有三种格式：  
1．u <from> 从地址<from>开始反编译8个机器码。  
2．u <from> <to> 反编译<from>到<to>之间的所有机器码。  
3．u 不提供任何参数时，从上次u命令停止的位置开始反编译。  
当然，反编译打段代码是十分厌烦的，但如果你只想知道在特定地址发生的事情，那这是最便捷的方法。或许u命令最令人感兴趣的特性是它可以解析代码引用到的符号----即使是目标模块没有导出的符号。

**db，dw和dd：Dump Memory BYTEs、WORDs和DWORDs**  
如果你当前感兴趣的内存数据是二进制的，那么调试器的16进制转储命令将能完成此任务。根据你对源地址（source address）数据类型的判断，来选择dd（针对BYTES）、dw（针对WORDS）、dd（针对DWORDS）。  
1.db 将指定内存范围里的数据显示为两个部分：左边是16进制表示（每2个8 bit一组），右边是对应的ASCI码。  
2. dw 仅按照16进制显示（16 bit一组）  
3. dw 仅按照16进制显示（32 bit一组）  
此组命令可以使用与u命令相同的参数。注意，<to>所指示的地址内容，也会被显示出来。如果没有任何参数，将显示接下来的128个字节。

**x：检查符号**  
x命令非常重要。它可以根据已安装的符号文件创建一个列表。典型的使用方式如下：  
1．x \*!\* 显示所有可用符号的模块。在启动后，默认只有ntoskrnl.exe的符号是可用的。其他模块的符号可以使用.reload命令来加载。  
2．x <module>!<filter> 显示模块<module>的符号文件中的符号名称，<filter>可以包括通配符?和\*。<module>必须属于x \*!\*列出的模块名。例如，x nt!\*将列出在内核符号文件ntoskrnl.dbg中找到的所有符号，x win32k!\*将列出win32k.dbg提供的符号。如果调试器报告说“Couldn’t resolv‘X….’”，尝试用.reload再次加载所有的符号文件。  
3．x <filter> 显示所有可用符号的一个子集，该子集不匹配<filter>表达式。本质上，这是x <module>!<filter>的一个变形，在这里<module>!被省略了。随符号名一起显示的，还有与其相关的虚拟地址。对于函数名，与其对应的就是函数的入口地址。对于变量，就是改变量的基地址。该命令值得的注意的地方是，它可以输出很多内部符号（internal symbols），这些在可执行文件的导出表中都是找不到的.

**ln：列出最近的符号**  
ln是我最喜欢的一个命令。因为它可以快速且简单的访问已安装的符号文件。算是x命令的理想补充。不过后者适用于列出所有系统符号的地址。Ln命令则用于按照地址或名称查找符号。  
1.ln <address> 显示<address>指示的地址以及和其前后相邻的地址的符号信息。  
2.ln <symbol> 将符号名解析为与其对应的虚拟地址。其过程与ln <address>类似。像x命令一样，调试器知道所有导出的以及一些内部的符号。因此，对于想弄清楚出现在反编译列表或16进制转储中的不明指针的确切含义的人有着非常大的帮助。注意，u、db、dw、dd也会使用符号文件。

**!processfield：列出EPROCESS的成员**  
该命令前的!号，意味着它来自于调试器的扩展模块―kdextx86.dll。该命令可显示内核用来代表一个进程的EPROCESS结构（该结构并没有正式的说明文档）的成员及其偏移量。  
尽管该命令仅列出了成员的偏移量，但你也能很容易的猜出其正确的类型。例如，LockEvent位于0x70处，其下一个成员的偏移量为0x80。则该成员占用了16个字节，这与KEVENT结构非常类似。

**!threadfields：列出ETHREAD成员**  
这是kdextx86.dll提供的另一个强大的选项。和!processfields类似，它列出未文档化的ETHREAD结构的成员及其偏移量。内核使用它表示一个线程.

**!drivers：列出已加载的Drivers**  
kdextx86.dll真是太棒了。!drivers列出了当前运行的内核和文件系统模块的详细信息。如果检查crash dump，该命令会列出系统崩溃那一刻的系统状态。示例1-3是我机器上输出的摘要。注意，在输出的最后一行，导致Windows 2000崩溃的Driver的地址为0xBECC2000，这显然是w2k\_kill.sys引发蓝屏后显示的地址。  
注：  
在新的i386kd.exe（ver: 6.3.0017.0）中，!driver命令已不被支持。取而代之的是lm命令。该命令的一般用法是：lm t n

**!sel：检查Selector的值**  
!sel实现于kdextx86.dll。它用来显示16个连续的memory selector（按地址升序排列）。你可以反复的使用此命令直到出现“Selector is invalid”。在第4章将讨论Memory Selector，到时我会提供一个示列代码来演示如何在你的程序中crack selectors。  
注：  
在新的调试器中，该命令已不被支持，取而代之的是：dg命令。其一般性用法为：dg.注意末尾的.符号。dg命令最多可列出256个Selector。调试器的Online Help中有详细说明