windbg

MSDN文档一个简单的介绍最基本功能涉及了 stack overflow 挺详细的 WinDbg配置和使用基础转 在WinDBG中查看函数的反汇编代码的命令 在WinDBG中查看变量的命令 windbg下如何使用bp对指定文件指定源码行数下断 使用windbg调试release程序 WinDbg修改寄存器和内存 windbg检测句柄泄露定位到具体代码 现学现用之windbg的高级玩法135131476808184118119121122楼已更新chm文档集成7篇实战18个辅助工具 MSDN文档，一个简单的介绍，最基本功能涉及了 Getting Started with WinDbg (User-Mode) / ********************************************************** / stack overflow 挺详细的 Good tutorial for WinDbg? / ********************************************************** / WinDbg配置和使用基础(转) WinDbg配置和使用基础(转) / ********************************************************** / 在WinDBG中查看函数的反汇编代码的命令

汇编与反汇编之小技巧 大家都知道，对于位于当前调试目标中的指令，可以使用WinDBG的u命令进行反汇编。u命令的参数是要反汇编代码的地址值或者符号，如果不指定，那么WinDBG会使用当前程序指针寄存器所指向的代码，例如：0:001> untdll!DbgBreakPoint:7c901230 cc int 37c901231 c3 来源： CSDN 作者： justpub 链接： https://blog.csdn.net/justpub/article/details/2623910

WinDbg 分析dump 文件 介绍 1、WinDbg介绍 WinDbg是微软开发的免费源代码级的调试工具。WinDbg可以用于Kernel模式调试和用户模式调试，还可以调试Dump文件。具体界面见下图（图1） 图1：主窗体界面 2、WinDbg 分析dump步骤 2.1 、WinDbg分析dump文件基本上试通过命令的方式，所以先介绍几个相关命令。 1）!analyze : 扩展显示当前异常或bug的信息。一般使用!analyze -v 2） kv : 显示栈信息 3） ub : 向前反汇编,例如: ub (地址) 反汇编当前地址之前的两条指令 4） u : 反汇编,例如: u (地址) 反汇编当前地址以后的9条指令 5） uf <function address> : 反汇编函数 5） .exr: 查看EXCEPTION_RECORD信息 6) .cls : 清屏 。。。。。。。。 2.2、打开Dump格式文件 方式一：通过菜单【File】 -> 【Open Crash dump】 选择dump文件打开， 图2:打开dumpe文件 图3：打开后会打印一些dump的信息 方式二：通过CMD打开Dos命令窗口，切换到WinDbg所在目录，利用命令： WinDbg –z “D:/Lines2009-7-25-22-20-33-900.dmp” 这里只介绍第一种方式操作。 2.3

命令 ========== u . u $ip 上面的两个命令是效果是一样的, 反汇编当前$ip地址上的8条命令. uf . uf $ip 上面两个命令的效果是一样的, 反汇编当前$ip地址上的整个函数. ub . ub $ip 反汇编$ip之前的8条指令. ub $ip L2a 反汇编$ip地址之前的42条指令. u $ip $ip+a 反汇编地址$ip到地址$ip+10之间的指令. 注意, 这里包括$ip, 不包括$ip+10。 举例: 来源： CSDN 作者： swanabin 链接： https://blog.csdn.net/swanabin/article/details/22657625

语法 # [ Pattern ] [ Address [ L Size ]] 参数 Pattern 指定用于在反汇编代码中搜索的模板。 Pattern 可以包含各种通配符和修饰符。关于该语法的更多信息，查看 字符串通配符语法 。如果在 Pattern 中包含空格，需要将模板用引号括起来。模板是不区分大小写的。如果之前使用过 # 命令，并且省略掉 Pattern ，该命令会使用上一次的模板。 Address 指定搜索开始的地址。该语法的更多信息，查看 地址和地址范围语法 。 Size 指定要搜索的指令数量。如果省略掉 Size ，会一直搜索直到遇到匹配项。 0:000> u ntdll!LdrpDoDebuggerBreak+0x2c: 773d054e cc int 3 773d054f 8975fc mov dword ptr [ebp-4],esi 773d0552 eb0e jmp ntdll!LdrpDoDebuggerBreak+0x40 (773d0562) 773d0554 33c0 xor eax,eax 773d0556 40 inc eax 773d0557 c3 ret 773d0558 8b65e8 mov esp,dword ptr [ebp-18h] 773d055b c745fcfeffffff mov dword ptr [ebp-4]