dd nt!KeServiceDescriptorTable
!drvobj 驅動(dòng)名稱(chēng) : The !drvobj extension displays detailed information about a DRIVER_OBJECT.
u 反匯編
uf 反匯編函數
p 單步
bp(bu,bm) 斷點(diǎn)
g
.cls
.reload
u eip
u eip l20
e 修改內存
r 修改寄存器
!process 0 0 calc.exe
!process 0 0 system
!process pid
.formats 000ab048
!dd
!pte
!ptov
!vtop
!pfn
~s
dg
!pcr
dv 顯示變量值
源代碼操作指令
.open，lsf，lsc，ls，l，lsp
Ctrl+O打開(kāi)并查看源文件
windbg源代碼不能跟蹤當前指令行時(shí)，reload image path。
Call Stack相關(guān)命令：
k,kM
.frame frame_number
Windbg查看全局變量:
a.直接把鼠標移動(dòng)到全局變量上,就能顯示值了.
b.watch窗口里面,把那個(gè)全局變量輸進(jìn)去.
入侵模式調試
在默認情況下，當我們用CDB調試一個(gè)已經(jīng)運行的進(jìn)程時(shí)，它通常作為全功能的調試器附上進(jìn)程（使用Win32 Debugging API）。在這種模式下，可以設置斷點(diǎn)，單步調試代碼，得到各種調試事件的通知（例如，異常，加載/卸載模塊，啟動(dòng)/退出線(xiàn)程，等等）。Visual Studio也可以做到這些，并提供更友好的用戶(hù)界面。另外，每個(gè)進(jìn)程每次只能被一個(gè)調試器附上。這是否意味著(zhù)如果我們用Visual Studio調試器調試應用程序，就不能再用CDB得到它的附加信息了？不，不完全是這樣，因為除了全功能調試模式外，CDB還支持入侵調試模式。
CDB以入侵模式附上目標進(jìn)程時(shí)，并沒(méi)有使用Win32 Debugging API，而是先暫停目標進(jìn)程的所有線(xiàn)程，執行用戶(hù)指定的命令。在所有的命令執行之后，CDB退出之前，恢復暫停的線(xiàn)程。因此，目標進(jìn)程可以繼續運行，好像什么事也沒(méi)發(fā)生一樣。即使像Visual Studio之類(lèi)的全功能調試器正在調試目標進(jìn)程，CDB仍可以用入侵模式附上它，并獲得所需要的信息。在CDB完成任務(wù)并分離附上的進(jìn)程后，我們可以繼續用Visual Studio調試器調試這個(gè)應用程序。
lmf 列出當前進(jìn)程中加載的所有dll文件和對應的路徑
bp `test.c:888` 在指定源程序行號下斷. 行號有木有??？狀態(tài)欄。
顯示進(jìn)程| 切換進(jìn)程| 1 s
sx, sxd, sxe, sxi, sxn, sxr, sx- (Set Exceptions)
The sx* commands control the action that the debugger takes when an exception occurs in the application that is being debugged, or when certain events occur.
--引http://www.vcfans.com/2010/04/windbg-study-notes-order.html
去年看WinDbg幫助時(shí)隨手記下來(lái)的一點(diǎn)資料，放上來(lái)保存一下，有新內容我會(huì )陸續更新上來(lái)。
1. 命令行前數字的含義
用戶(hù)調試模式下，如2:005, 2表示進(jìn)程ID,005表示線(xiàn)程ID
內核調試模式下，將顯示kd>, 如果是多核處理器將顯示0: kd> 0:表示當前運行在哪核處理器上。
2. 命令輸入時(shí)，支持UP,DOWN,TAB鍵聯(lián)想，可以使用TAB鍵進(jìn)行通配符的聯(lián)想。
3. Enter鍵，在命令行沒(méi)有命令輸入時(shí)，執行上一條命令。
4. Ctrl+C 終止一段長(cháng)時(shí)間執行的命令
5. .cls 清除命令行的顯示結果。
6. WinDbg啟動(dòng)時(shí)增加-Q參數，在WinDbg退出后將不提示保存當前的工作環(huán)境的對話(huà)框。如果使用-QY將在退出WinDbg后，自動(dòng)保存當前的配置環(huán)境。
7. 調試命令之執行命令
Ctrl+C 停止
.restart 重新啟動(dòng)程序 快捷鍵Ctrl+Shift+F5
g 執行程序 快捷鍵F5
gc 恢復執行，當被條件斷點(diǎn)中斷后。
gh 等同于g命令,但當有異常時(shí)需要對異常進(jìn)行處理
gn 直接運行等同于g命令，但忽略異常
gu 執行到當前函數結束， 快捷鍵shift+F11
p 逐條運行，遇到Call直接步過(guò)， 快捷鍵 F10
pa 執行到指定地址
pc 執行到下一個(gè)Call的入口
pct 執行到下一個(gè)Call的入口或執行到當前函數的反回處。
ph 執行到下一個(gè)跳轉處
pt 執行到返回
t 單步執行
ta 單步執行到指定地址
tb 單步執行到分支處
tc 單步執行到下一個(gè)Call的開(kāi)始，如果當前指令就是一個(gè)Call,執行完此Call,再停在下一個(gè)Call的開(kāi)始處。
tct 單步執行到下一個(gè)Call的開(kāi)始或返回處。
8.調試命令之斷點(diǎn)
bl 列取已下的斷點(diǎn)，以及其狀態(tài)
.bpcmds 簡(jiǎn)單列表顯示斷點(diǎn)
bp/bu/bm 設置一個(gè)斷點(diǎn)
bp: 可以對地址(bp 0×1234567)以及符號(bp thApp!somefunction)下斷點(diǎn)，對于使用對符號下斷點(diǎn)，如果符號了修改，斷點(diǎn)依然存在，但不一定有效，另外bp并不會(huì )保存到workspace中。
bu: 可以對某一符號下斷點(diǎn)(bu theApp!somefunction)，如果該地址的代碼修改后，斷點(diǎn)作相應的更新修改。bu下的斷點(diǎn)將會(huì )保存到Workspace中，下次啟動(dòng)時(shí)會(huì )自動(dòng)載入。
bm: 可以對某一符號下斷點(diǎn)，但支持通配符，如bm theApp!funcDel*
ba 在指定地址設定訪(fǎng)問(wèn)方式斷點(diǎn),w(寫(xiě)方式),e(執行方式),r(只讀方式)，ba w4 0×123455 其中的4表示的字節寬度。ba下的地址斷點(diǎn)一定要下到指令的開(kāi)始處，否則不會(huì )執行。
bc 清除指定斷點(diǎn)，可以單獨指定斷點(diǎn)編號，可以是一個(gè)編號范圍
bd/be 關(guān)閉斷點(diǎn)/打開(kāi)斷點(diǎn)
br 重新指定斷點(diǎn)編號。br OldID NewID
9.調試命令之內存讀寫(xiě)
d* 讀取內存數據
da 顯示Ascii碼
db 顯示字節和ascii碼
dc 顯示雙字(4個(gè)字節)和Ascii碼
dd 顯示雙字
dD 顯示雙精度浮點(diǎn)數
df 顯示單精度浮點(diǎn)數
du 顯示unicode
dw 顯示一個(gè)字
e* 向內存寫(xiě)入數據，e后面的字符意思參考d*
dt 顯示指定變量的數據，比如結構體之類(lèi)的
ds/dS 顯示字符串，前者顯示ascii,后者顯示unicode的字符串。
dl 顯示一個(gè)鏈表數據
!address 顯示目前進(jìn)程的內存或計算機的內存使用情況
s 搜索內存
dv 顯示局部變量
!for_each_local dt @#Local 枚舉當前?？臻g所有局部變量值，注意@#Local的大小寫(xiě)。
!db/!dc/!dd/!dp/!du/!dw 讀取物理內存
GlobalVar 查看全局變量地址，通過(guò)?獲得地址后，通過(guò)dd查看相應的值
$!LocalVar 查看局部變量地址，通過(guò)$!獲得地址后，通過(guò)dd查看相應的值
10. 調試命令之記存寄器
r 設置和修改寄存器
11. k命令顯示調用棧
kb 顯示被調用函數的前三個(gè)參數
kp 如果有私有pdb的話(huà)，將顯示函數原型的格式顯示出來(lái)。
12. u/uf 顯示反匯編
13. q 結束調試
14. lm 顯示所加載的模塊，lml列出所有已加載符號的模塊。lmvm 列出所加載模塊的詳細信息
15. vertarget 顯示當前加載進(jìn)程實(shí)例的一些信息，
16. !peb (process environment block )顯示當前進(jìn)程的運行環(huán)境
17. .reload 重新加載模塊的符號。在加載前可以先打開(kāi)symbol的noisy模式(命令: !sym noisy)，顯示加載詳細信息
18. !runaway顯示當前進(jìn)程中線(xiàn)程運行情況
19. dds用來(lái)顯示當前內存的數據和相對應該的符號
20. ~<線(xiàn)程號>s 用來(lái)切換當前線(xiàn)程,如~0s將線(xiàn)程切換到ID為0的線(xiàn)程中。
21. .frame 切換到當前函數棧中，num為棧的編號，可以通過(guò)knL列出當前所有棧調用以及其編號。然后通過(guò)x列出所有局部變量地址。
22. wt (watch and trace data) 跟蹤一個(gè)函數調用子函數的數量，可以通過(guò)-l設定Trace的層數
23. ln 用來(lái)顯示指定地址附近的符號
24. !sym 列出當前模塊的符號目錄
!sym noisy打符號處理的提示開(kāi)關(guān)，比如顯示載入失敗等信息，與之相反的為!sym quiet
!sympath <符號目錄> 來(lái)添加符號目錄，然后使用.reload/.restart重新載入模塊
25. sx列出系統異常設置狀態(tài)
26. l+t:進(jìn)入源代碼級的單步執行模式， l-t：進(jìn)入匯編級的單步執行模式
聯(lián)系客服
