Net 高级调试之四:Windbg 动态调试
一、简介今天是《Net 高级调试》的第四篇文章。到今天为止,也有三篇文章了,对 Windbg 也有初步的认识了,当然,一个工具流畅、熟练的使用,对于我们调试 Net 程序是至关重要的。在前几篇文章的基础上,我们这篇文章主要介绍一些和使用 Windbg 有关的命令和操作。就我个人而言,第一次接触这个东西,还是挺难的,以前从来没有用过 Windbg,用的最多的就是 Visual Studio 的调试功能。不怕大家笑话,如何通过 Windbg 加载一个 exe,我都不知道,更不要谈加载 DUMP 文件。我看第一遍视频的时候,也不知道说了个啥,命令的执行,调试的开始,都感觉是一头雾水,似懂非懂,自己一实操,总是得不到别人调试那样的结果,很是郁闷。怎么办呢?没办法,要想学会,除了努力那就是坚持。针对视频,放慢速度,一帧一帧的按着视频的操作,自己来一遍,速度虽然慢,但是有些操作开始有了感觉了,当整个视频系列看了一遍,所有操作都操作一遍,终于有些头绪了。还是那句老话,一遍不行,那就再来一遍,还不行,那就再来一遍,俗话说的好,书读千遍,其意自现,我这是第三遍。
如果在没有说明的情况下,所有代码的测试环境都是 Net Framewok 4.8,但是,有时候为了查看源码,可能需要使用 Net Core 的项目,我会在项目章节里进行说明。好了,废话不多说,开始我们今天的调试工作。
调试环境我需要进行说明,以防大家不清楚,具体情况我已经罗列出来。
操作系统:Windows Professional 10
调试工具:Windbg Preview(可以去Microsoft Store 去下载)
开发工具:Visual Studio 2022
Net 版本:Net Framework 4.8
CoreCLR源码:源码下载
二、相关知识
1、Windbg 动态调试
1.1、调试概况
在任何一种调试中都有两个组件:调试器本身,调试目标。
当调试器【Windbg】附加进程【Attach to Process】时,调试器会给 目标程序 注入一个远程线程并用 int 3 中断程序,后续和 Net 程序中的 DebuggerRCThread 线程交互执行命令。int 3 指令之所以可以让进程中断,主要是来自于 CPU 硬件中断,当调试器发出了一个 int 3 的中断请求,CPU会到内核态执行3号例程,也就是执行【中断向量表】,内核执行中断的操作。
Actor------------》调试器(Windbg)《------------》调试目标(Net 程序,C++程序...)
以上图例就是一个调试器的作用和所处的地位。
2、程序的中断和恢复执行
2.1、中断执行(让程序中断有4中方式)
a、使用WinDbg 启动程序,在进程初始化函数中,如果发现有调试器附加在上面,就会执行 break 中断。
说明一下:Windbg 调试器刚开始的中断就是 int 3 中断,但是这个中断的时机很早,我们可以做一些初始化的工作,比如:加载SOS.dll 等类似的工作。
b、附加进程,调试器会注入远程线程执行 int 3 中断程序。
这个挺简单的,我们双击程序,直接运行。然后通过 Windbg 的【Attach to process】附加进程,就可以进入调试器界面,这个时候,其实什么也不用做,调试器已经暂停了,这个暂停就是 int 3 中断。我们通过 Windbg 的【break】命令也是 int 3 中断。当然,我们通过 C# Debugger.Break() 代码执行的也是 int 3 的中断。
c、使用 bp 命令给程序下断点。
我们可以通过【u】命令查看方法的汇编代码,找到想要设断点的代码的地址,直接通过这个地址来下断点,当程序再次运行的时候,就会在这个断点处暂停。
d、异常中断。
异常中断的流程是:当你的程序发生异常,会从用户态转到内核态,内核态检测到你的程序附加了调试器,内核态就会把这个请求转交给调试器,调试器也就能中断了,可以调试了。
2.2、恢复执行
可以使用 g 命令回复程序的执行。
3、单步调试代码。
当我们调试程序的时候,最多的时候是使用 Visual Studio 的 f10、f11、f5这样的命令,在 Windbg 中也有类似的命令可以使用。
3.1、p 命令
p(step):命令其实就是VS 中的 f10 快捷键,单步执行,遇到函数也是当成一条指令执行,不会进入函数体。
3.2、t 命令
t(trace):命令其实就是 VS 的 f11 快捷键,它是一种进入函数的单步执行调试。
3.3、pc 命令
pc(Step to Next Call) 就是一直运行直到遇到 call 为止,不会进入函数体,call 是一个函数调用,汇编指令。
3.4、tc 命令
tc(Trace to Next Call) 和 pc 不同的是,tc 会进入方法体,直到遇到 call 为止。
3.5、pt 命令
pt(Step to Next Return) 遇到下一个 ret 为止。
3.6、tt 命令
tt(Trace to Next Return) 会进入函数体直到遇到 ret 为止。递归的意思。
4、退出测试会话
结束调试会话,有两个目的,看是否保留程序的执行。
4.1、q(quit):结束调试会话+调试程序退出
调试会话结束,应用程序也会退出。
4.2、qd(quit and detach):结束调试会话+调试程序继续运行
调试会话结束,应用程序保持运行态,不会退出。
三、调试过程
废话不多说,这一节是具体的调试操作的过程,又可以说是眼见为实的过程,在开始之前,我还是要啰嗦两句,这一节分为两个部分,第一部分是测试的源码部分,没有代码,当然就谈不上测试了,调试必须有载体。第二部分就是根据具体的代码来证实我们学到的知识,是具体的眼见为实。
1、测试源码
1.1、Example_4_1_1
1 namespace Example_4_1_1
2 {
3 internal class Program
4 {
5 static void Main(string[] args)
6 {
7 for (int i = 0; i < int.MaxValue; i++)
8 {
9 Console.WriteLine($"i={i}");
10 Thread.Sleep(1000);
11 }
12 Console.ReadLine();
13 }
14 }
15 }View Code 1.2、Example_4_1_2
1 namespace Example_4_1_2
2 {
3 internal class Program
4 {
5 static void Main(string[] args)
6 {
7 Debugger.Break();
8
9 int a = 10;
10 int b = 12;
11
12 var sum = a + b;
13
14 Console.WriteLine($"sum={sum}");
15
16 Console.ReadLine();
17 }
18 }
19 }View Code 1.3、Example_4_1_3
1 namespace Example_4_1_3
2 {
3 internal class Program
4 {
5 static void Main(string[] args)
6 {
7 Run();
8
9 Console.ReadLine();
10 }
11
12 static void Run()
13 {
14 Console.WriteLine("请输入一个除数:");
15 var num = Console.ReadLine();
16 var result = 10 / Convert.ToInt32(num);
17 }
18 }
19 }View Code 1.4、Example_4_1_4
1 namespace Example_4_1_4
2 {
3 internal class Program
4 {
5 static void Main(string[] args)
6 {
7 Sum1(10);
8 Debugger.Break();
9
10 int i = 10;
11 int j = 20;
12
13 var sum = Sum1(i);
14 Console.WriteLine($"sum={sum}");
15
16 Console.ReadLine();
17 }
18
19 private static int Sum1(int a)
20 {
21 var i = a;
22 var j = 11;
23 int sum = Sum2(i, j);
24
25 return sum;
26 }
27
28 private static int Sum2(int a, int b)
29 {
30 var i = a;
31 var j = b;
32 var k = 13;
33
34 var sum = Sum3(i, j, k);
35 return sum;
36 }
37
38 private static int Sum3(int i, int j, int k)
39 {
40 return i + j + k;
41 }
42 }
43 }View Code
2、眼见为实
2.1、Windbg【Attach to Process】附加进程,通过 int 3 命令中断程序。
测试代码:Example_4_1_1
程序很简单,直接运行 exe 程序,打开 Windbg,点击菜单【attach to process】进入调试器界面。其实什么操作都不用做,我们就可以看到调试器的输出结果。特别强调,红色标注的就是 int 3中断。
1 ModLoad: 6fa30000 6faba000 C:\Windows\Microsoft.NET\Framework\v4.0.30319\clrjit.dll
2 ModLoad: 75f50000 75feb000 C:\Windows\System32\OLEAUT32.dll
3 (5384.3250): Break instruction exception - code 80000003 (first chance)
4 eax=00270000 ebx=00000000 ecx=7790cee0 edx=7790cee0 esi=7790cee0 edi=7790cee0
5 eip=778d3410 esp=04c2f92c ebp=04c2f958 iopl=0 nv up ei pl zr na pe nc
6 cs=0023ss=002bds=002bes=002bfs=0053gs=002b efl=00000246
<strong>7 ntdll!DbgBreakPoint:
8 778d3410 cc int 3</strong> 当然,我们也可以通过【g】命令,继续运行程序,然后点击工具栏的【break】按钮,程序就进入中断,这里的结果和上面是一样的。
1 0:006> g
2 (5384.528c): Break instruction exception - code 80000003 (first chance)
3 eax=00279000 ebx=00000000 ecx=7790cee0 edx=7790cee0 esi=7790cee0 edi=7790cee0
4 eip=778d3410 esp=04eaf960 ebp=04eaf98c iopl=0 nv up ei pl zr na pe nc
5 cs=0023ss=002bds=002bes=002bfs=0053gs=002b efl=00000246
<strong>6 ntdll!DbgBreakPoint:
7 778d3410 cc int 3</strong> 当然,也可以通过【u】命令,查看 ntdll!DbgBreakPoint的汇编代码。
1 0:008> u ntdll!DbgBreakPoint
2 ntdll!DbgBreakPoint:
3 <strong>778d3410 cc </strong> <strong>int</strong> 3
4 778d3411 c3 ret(方法返回) 我们也可以查看【Disassembly】视图,截图如下:
解释内核态:涉及到内核态的执行,我们也可以通过Windbg 查看,重新在打开一个 Windbg,点击【文件】----》【Attach kernel】,选择【local】项,点击【ok】按钮,进入调试器界面。然后,我们可以输入【!idt】命令来查看。
1 lkd> !idt
2
3 Dumping IDT: fffff80069a91000
4
5 00: fffff80064b93100 nt!KiDivideErrorFaultShadow
6 01: fffff80064b93180 nt!KiDebugTrapOrFaultShadow Stack = 0xFFFFF80069A959D0
7 02: fffff80064b93240 nt!KiNmiInterruptShadow Stack = 0xFFFFF80069A957D0
8 03: <strong>fffff80064b932c0 nt!KiBreakpointTrapShadow
</strong> 9 04: fffff80064b93340 nt!KiOverflowTrapShadow
10 .................. 红色标注的就是在内核态的中断函数,我们可以使用【u】命令,查看他的汇编代码。
1 lkd> u nt!KiBreakpointTrapShadow
2 nt!KiBreakpointTrapShadow:
3 fffff800`64b932c0 f644240801 test byte ptr ,1
4 fffff800`64b932c5 7467 je nt!KiBreakpointTrapShadow+0x6e (fffff800`64b9332e)
5 fffff800`64b932c7 0f01f8 swapgs
6 fffff800`64b932ca 0faee8 lfence
7 fffff800`64b932cd 650fba24251890000001 btdword ptr gs:,1
8 fffff800`64b932d7 720c jb nt!KiBreakpointTrapShadow+0x25 (fffff800`64b932e5)
9 fffff800`64b932d9 65488b242500900000 mov rsp,qword ptr gs:
10 fffff800`64b932e2 0f22dc mov cr3,rsp 解释:,我们可以通过【~* k】命令,打印出所有线程栈,......表示省略,内容太多,没必要,显示重要的就可以了。
1 0:008> ~*k
2
3 0Id: 5384.4128 Suspend: 1 Teb: 0025e000 Unfrozen
4# ChildEBP RetAddr
5 00 0057ee00 75942d3b ntdll!NtDelayExecution+0xc
6 ......
7
8 1Id: 5384.22a4 Suspend: 1 Teb: 00261000 Unfrozen
9# ChildEBP RetAddr
10 00 0088fab8 778b0f30 ntdll!NtWaitForWorkViaWorkerFactory+0xc
11 ......
12
13 2Id: 5384.3034 Suspend: 1 Teb: 00264000 Unfrozen
14# ChildEBP RetAddr
15 00 00affb9c 778b0f30 ntdll!NtWaitForWorkViaWorkerFactory+0xc
16 .......
17
18 3Id: 5384.35fc Suspend: 1 Teb: 00267000 Unfrozen
19# ChildEBP RetAddr
20 00 00bff9f0 778b0f30 ntdll!NtWaitForWorkViaWorkerFactory+0xc
21 ......
22
23 4Id: 5384.3c50 Suspend: 1 Teb: 0026a000 Unfrozen
24# ChildEBP RetAddr
25 00 0258f804 75939623 ntdll!NtWaitForMultipleObjects+0xc
26 01 0258f804 711567d7 KERNELBASE!WaitForMultipleObjectsEx+0x103
27 02 0258f86c 711566ff clr!DebuggerRCThread::MainLoop+0x99
28 03 0258f898 71156620 <strong>clr!DebuggerRCThread</strong>::ThreadProc+0xd0
29 04 0258f8c4 7711f989 clr!DebuggerRCThread::ThreadProcStatic+0xa3
30 05 0258f8d4 778c7084 KERNEL32!BaseThreadInitThunk+0x19
31 06 0258f930 778c7054 ntdll!__RtlUserThreadStart+0x2f
32 07 0258f940 00000000 ntdll!_RtlUserThreadStart+0x1b
33
34 5Id: 5384.2050 Suspend: 1 Teb: 0026d000 Unfrozen
35# ChildEBP RetAddr
36 00 0475fabc 75939623 ntdll!NtWaitForMultipleObjects+0xc
37 ......
38
39 6Id: 5384.2ce0 Suspend: 1 Teb: 00276000 Unfrozen
40# ChildEBP RetAddr
41 00 04c2f84c 778b0f30 ntdll!NtWaitForWorkViaWorkerFactory+0xc
42 ......
43
44 7Id: 5384.489c Suspend: 1 Teb: 00273000 Unfrozen
45# ChildEBP RetAddr
46 ......
47 04 04d6ffb0 00000000 ntdll!_RtlUserThreadStart+0x1b
48
49 #8Id: 5384.528c Suspend: 1 Teb: 00279000 Unfrozen
50# ChildEBP RetAddr
51 00 04eaf98c 7790cf19 <strong> ntdll!DbgBreakPoint(int 3 中断)
</strong>52 01 04eaf98c 7711f989 ntdll!DbgUiRemoteBreakin+0x39
53 02 04eaf99c 778c7084 KERNEL32!BaseThreadInitThunk+0x19
54 03 04eaf9f8 778c7054 ntdll!__RtlUserThreadStart+0x2f
55 04 04eafa08 00000000 ntdll!_RtlUserThreadStart+0x1b
2.2、使用WinDbg 启动程序,在进程初始化函数中断进程。
测试代码:Example_4_1_2
我们编译项目,打开 Windbg,点击【文件】----》【launch executable】附加程序,打开调试器的界面,程序已经处于中断状态。我们可以看到,如下输出:
1 Executable search path is:
2 ModLoad: 00be0000 00be8000 Example_4_1_2.exe
3 ModLoad: 77860000 77a02000 ntdll.dll
4 ModLoad: 717e0000 71832000 C:\Windows\SysWOW64\MSCOREE.DLL
5 ModLoad: 77100000 771f0000 C:\Windows\SysWOW64\KERNEL32.dll
6 ModLoad: 75820000 75a33000 C:\Windows\SysWOW64\KERNELBASE.dll
7 ModLoad: 5efe0000 5f07f000 C:\Windows\SysWOW64\apphelp.dll
8 (300c.20b8): Break instruction exception - code 80000003 (first chance)
9 eax=00000000 ebx=00000000 ecx=534d0000 edx=00000000 esi=77871f64 edi=7787252c
10 eip=77910de2 esp=00f7f824 ebp=00f7f850 iopl=0 nv up ei pl zr na pe nc
11 cs=0023ss=002bds=002bes=002bfs=0053gs=002b efl=00000246
12 <strong>ntdll!LdrpDoDebuggerBreak+0x2b:
</strong>13 77910de2 cc int 3 红色部分需要注意,然后我们使用【u】命令查看它的汇编代码。
1 0:000> u ntdll!LdrpDoDebuggerBreak+0x2b
2 ntdll!LdrpDoDebuggerBreak+0x2b:
3 77910de2 cc int 3
4 77910de3 eb07 jmp ntdll!LdrpDoDebuggerBreak+0x35 (77910dec)
5 77910de5 33c0 xor eax,eax
6 77910de7 40 inc eax
7 77910de8 c3 ret
8 77910de9 8b65e8 mov esp,dword ptr
9 77910dec c745fcfeffffffmov dword ptr ,0FFFFFFFEh
10 77910df3 8b4df0 mov ecx,dword ptr 我们可以使用【k】命令,继续查看。
1 0:000> k
2# ChildEBP RetAddr
3 00 00f7f850 7790b2f8 <strong>ntdll!LdrpDoDebuggerBreak+</strong>0x2b(int 3 中断)
4 01 00f7fab0 778ba3d1 ntdll!LdrpInitializeProcess+0x1c98(进程初始化的时候执行的 break中断,)
5 02 00f7fb08 778ba2c1 ntdll!_LdrpInitialize+0xba
6 03 00f7fb14 00000000 ntdll!LdrInitializeThunk+0x11 ntdll是一个网关函数dll,如果想使用内核的功能几必须通过 ntdll 里面的函数。ntdll!LdrpDoDebuggerBreak 这个中断是在进程初始化之前进行的,是很早的一个时机,加载的东西也不多,只有【Example_4_1_2.exe,ntdll.dll,MSCOREE.DLL,KERNEL32.dll...】,之所以这样,可以让我们设置一些或者说配置一些初始化的东西,比如:加载 SOS等。
2.3、使用 bp 命令给程序下断点,可以让程序中断。
测试代码:Example_4_1_2
比如,我们在【int a = 10;】这样代码下断点,行数:12.
我们编译项目,打开 Windbg,点击【文件】----》【launch executable】附加程序,打开调试器的界面,程序已经处于中断状态。我们使用【g】命令,继续运行,然后我们使用【!clrstack】命令,查看线程栈。
1 0:000> !clrstack
2 OS Thread Id: 0x3c54 (0)
3 Child SP IP Call Site
4 00d5ed38 7597f262 System.Diagnostics.Debugger.BreakInternal()
5 00d5edb4 7064f195 System.Diagnostics.Debugger.Break()
6 00d5eddc <strong>02ba0886</strong> Example_4_1_2.Program.Main(System.String[])
7 00d5ef78 70faf036 红色标注的是 Main 方法的地址,然后执行【!u 02ba0886】命令,查看他的汇编代码。
1 0:000> !u 02ba0886
2 Normal JIT generated code
3 Example_4_1_2.Program.Main(System.String[])
4 Begin 02ba0848, size a3
5
6 ......
7
8 E:\Visual Studio 2022\...\Example_4_1_2\Program.cs @ <strong>12:(这个行号就是C# 代码的行号)
</strong>9 <strong>02ba0887</strong> c745f00a000000mov dword ptr ,0Ah 我们找到了代码的位置,就可以下断点了,使用【bp】命令。
0:000> bp 02ba0887 【g】继续运行,就会到断点出暂停。
效果如图。
2.4、触发异常,也可以让程序中断。
测试代码:Example_4_1_3
代码很简单,我简单说一些流程,我们首先将要测试的项目编译好,然后打开 Windbg,通过【launch executable】附加应用程序,调试器会响应一个 int 3中断,我们通过【g】命令,继续运行程序。程序提示输入一个数字,我输入0,肯定就会异常了。
效果如图:
异常中断的代码是:014b08ea f77df4 idiv eax, dword ptr ,效果如图:
我们使用【dp】命令,查看【ebp-0Ch】代码的值。
1 0:000> dp ebp-0Ch l1
2 012ff2fc00000000 我们可以使用【dp】命令,也可以使用【?】命令,查看一下eax 是什么,其实 eax就是十进制的10。
1 0:000> ? eax
2 Evaluate expression: 10 = 0000000a 代码【idiv】就是表示除法触发的异常。
我们也可以使用【k】命令,查看调用栈,也能看出在哪里中断。
1 0:000> k
2# ChildEBP RetAddr
3 <strong>00 012ff308 014b086b Example_4_1_3!COM+_Entry_Point <PERF> (Example_4_1_3+0x6308ea)
</strong>4 01 012ff318 7077f036 Example_4_1_3!COM+_Entry_Point <PERF> (Example_4_1_3+0x63086b)
5 ......
6 0f 012ffde4 77057054 ntdll!__RtlUserThreadStart+0x2f
7 10 012ffdf4 00000000 ntdll!_RtlUserThreadStart+0x1b 红色部分就是中断的 C# 代码的行号。
2.5、单步调试命令测试。
测试代码:Example_4_1_4
说明一下,这些测试命令,不需要每个命令建立一个独立的测试项目,所以我这里就使用了一个项目做测试。为了更明确,每个命令单独测试。但是编译项目,通过Windbg 加载项目就不详述了。都是通过 Windbg的【launch executable】附加应用程序的,进入到的调试器后,通过【g】命令继续运行,会在 C# 【Debugger.Break()】代码出中断,我们通过【!clrstack】线程栈,找到 Program 的 Main 方法的地址,然后在这个地址上通过【bp】命令下断点,剩下就可以自由调试了。
1 0:000> !clrstack
2 OS Thread Id: 0x35ec (0)
3 Child SP IP Call Site
4 00aff270 76e8f262 System.Diagnostics.Debugger.BreakInternal()
5 00aff2ec 6fe1f195 System.Diagnostics.Debugger.Break()
6 00aff314 <strong>00cc0895</strong> Example_4_1_4.Program.Main(System.String[])
7 00aff4b4 7077f036 在红色标注的地址上设置断点。
0:000> bp 00cc0895 【g】继续运行。
开始调试了。
p命令: 1 0:000> p
2 eax=00000022 ebx=00aff3e4 ecx=0000000a edx=00000000 esi=02ab24bc edi=00aff330
3 eip=00cc08b3 esp=00aff314 ebp=00aff348 iopl=0 nv up ei pl nz ac pe nc
4 cs=0023ss=002bds=002bes=002bfs=0053gs=002b efl=00000216
5 Example_4_1_4!COM+_Entry_Point <PERF> (Example_4_1_4+0x6408b3):
6 00cc08b3 8945e8 mov dword ptr ,eax ss:002b:00aff330=00000000
7 0:000> p
8 eax=00000022 ebx=00aff3e4 ecx=0000000a edx=00000000 esi=02ab24bc edi=00aff330
9 eip=00cc08b6 esp=00aff314 ebp=00aff348 iopl=0 nv up ei pl nz ac pe nc
10 cs=0023ss=002bds=002bes=002bfs=0053gs=002b efl=00000216
11 Example_4_1_4!COM+_Entry_Point <PERF> (Example_4_1_4+0x6408b6):
12 00cc08b6 b9a8422a6f mov ecx,offset mscorlib_ni!GetObjectData+0x102 (6f2a42a8)
13 0:000> p
14 eax=00000022 ebx=00aff3e4 ecx=6f2a42a8 edx=00000000 esi=02ab24bc edi=00aff330
15 eip=00cc08bb esp=00aff314 ebp=00aff348 iopl=0 nv up ei pl nz ac pe nc
16 cs=0023ss=002bds=002bes=002bfs=0053gs=002b efl=00000216
17 Example_4_1_4!COM+_Entry_Point <PERF> (Example_4_1_4+0x6408bb):
18 00cc08bb e83428faff call 00c630f4
t命令: 1 0:000> t
2 eax=00000000 ebx=0053ee2c ecx=0000000a edx=00779910 esi=025224bc edi=0053ed70
3 eip=023808a7 esp=0053ed54 ebp=0053ed88 iopl=0 nv up ei pl zr na pe nc
4 cs=0023ss=002bds=002bes=002bfs=0053gs=002b efl=00000246
5 Example_4_1_4!COM+_Entry_Point <PERF> (Example_4_1_4+0x21e08a7):
6 023808a7 ff156c4d3302 call dword ptr ds: ds:002b:02334d6c=02380918
7 0:000> t
8 eax=00000000 ebx=0053ee2c ecx=0000000a edx=00779910 esi=025224bc edi=0053ed70
9 eip=02380918 esp=0053ed50 ebp=0053ed88 iopl=0 nv up ei pl zr na pe nc
10 cs=0023ss=002bds=002bes=002bfs=0053gs=002b efl=00000246
11 Example_4_1_4!COM+_Entry_Point <PERF> (Example_4_1_4+0x21e0918):
12 02380918 55 push ebp 效果如图:
执行【t】命令后,效果如图:
pc命令: 1 0:000> pc
2 eax=00000000 ebx=00bfee64 ecx=0000000a edx=00f69910 esi=02f124bc edi=00bfedb0
3 eip=014108a7 esp=00bfed94 ebp=00bfedc8 iopl=0 nv up ei pl zr na pe nc
4 cs=0023ss=002bds=002bes=002bfs=0053gs=002b efl=00000246
5 Example_4_1_4!COM+_Entry_Point <PERF> (Example_4_1_4+0x9b08a7):
6 014108a7 ff156c4d1301 call dword ptr ds: ds:002b:01134d6c=01410918 效果如图:
运行后的效果,如图:
tc命令: 1 0:000> tc
2 eax=00000000 ebx=010fee04 ecx=0000000a edx=013998f0 esi=031424bc edi=010fed50
3 eip=02f708a7 esp=010fed34 ebp=010fed68 iopl=0 nv up ei pl zr na pe nc
4 cs=0023ss=002bds=002bes=002bfs=0053gs=002b efl=00000246
5 Example_4_1_4!COM+_Entry_Point <PERF> (Example_4_1_4+0x22608a7):
6 02f708a7 ff156c4d5e01 call dword ptr ds: ds:002b:015e4d6c=02f70918 第一次执行【tc】命令,效果如图:
1 0:000> tc
2 eax=0000000a ebx=010fee04 ecx=0000000a edx=0000000b esi=031424bc edi=010fed50
3 eip=02f7095c esp=010fed14 ebp=010fed2c iopl=0 nv up ei pl zr na pe nc
4 cs=0023ss=002bds=002bes=002bfs=0053gs=002b efl=00000246
5 Example_4_1_4!COM+_Entry_Point <PERF> (Example_4_1_4+0x226095c):
6 02f7095c ff15784d5e01 call dword ptr ds: ds:002b:015e4d78=02f70990 第二次执行【tc】命令,效果如图:
1 0:000> tc
2 eax=0000000b ebx=010fee04 ecx=0000000a edx=0000000b esi=031424bc edi=010fed50
3 eip=02f709e5 esp=010fece8 ebp=010fed0c iopl=0 nv up ei pl zr na pe nc
4 cs=0023ss=002bds=002bes=002bfs=0053gs=002b efl=00000246
5 Example_4_1_4!COM+_Entry_Point <PERF> (Example_4_1_4+0x22609e5):
6 02f709e5 ff15844d5e01 call dword ptr ds: ds:002b:015e4d84=02f70a18 第三次执行【tc】命令,效果如图:
pt命令:
初始状态,如图:
执行了【pt】命令,遇到【ret】就暂停,也就是回到29行。
1 0:000> pt
2 eax=00000022 ebx=010ff29c ecx=0000000a edx=00000000 esi=030624bc edi=010ff1e0
3 eip=015f097a esp=010ff1c0 ebp=010ff1f8 iopl=0 nv up ei pl nz ac pe nc
4 cs=0023ss=002bds=002bes=002bfs=0053gs=002b efl=00000216
5 Example_4_1_4!COM+_Entry_Point <PERF> (Example_4_1_4+0x97097a):
6 015f097a c3 ret 效果如图:
tt命令:
如果我们运行【tt】命令,第一暂停会到【Sum3】方法的44行。
1 0:000> tt
2 eax=00000022 ebx=00aff158 ecx=0000000a edx=00000000 esi=02c924bc edi=00aff0a0
3 eip=00e00a4d esp=00aff034 ebp=00aff05c iopl=0 nv up ei pl nz ac pe nc
4 cs=0023ss=002bds=002bes=002bfs=0053gs=002b efl=00000216
5 Example_4_1_4!COM+_Entry_Point <PERF> (Example_4_1_4+0x730a4d):
6 00e00a4d c20400 ret 4 效果如图:
1 0:000> tt
2 eax=00000022 ebx=00aff158 ecx=0000000a edx=00000000 esi=02c924bc edi=00aff0a0
3 eip=00e00a03 esp=00aff060 ebp=00aff07c iopl=0 nv up ei pl nz ac pe nc
4 cs=0023ss=002bds=002bes=002bfs=0053gs=002b efl=00000216
5 Example_4_1_4!COM+_Entry_Point <PERF> (Example_4_1_4+0x730a03):
6 00e00a03 c3 ret 第二次执行【tt】命令,会在Sum2方法的39行暂停,以此类推。
2.6、退出调试会话
这里不需要更多的代码,也不用专门写一个测试程序了,所以就直接用 Example_4_1_4 项目,很简单,就不作图例了。
测试代码:Example_4_1_4
A、结束会话,并退出程序
使用【q】命令。
B、结束会话,程序继续运行。
使用【qd】命令。
四、总结
终于写完了,为什么说是终于,因为写这一篇文章,不是一天完成的,还要写文章,记录操作过程,作图例,所以时间就长了。今天介绍的是 Windbg 动态调试的命令,我们要想让调试任务更容易,掌握这些调试技巧还是很有必要的。好了,不说了,不忘初心,继续努力,希望老天不要辜负努力的人。
来源:https://www.cnblogs.com/PatrickLiu/archive/2023/11/01/17788840.html
免责声明:由于采集信息均来自互联网,如果侵犯了您的权益,请联系我们【E-Mail:cb@itdo.tech】 我们会及时删除侵权内容,谢谢合作!
页:
[1]