Windbg 入门培训.pdf

Windbg 入门培训 Windbg 是微软开发的免费源码级调试器，经常用于 Kernel 模式调试和用户模式调试、调试 Dump 文件等。它可以用来观察和控制目标进程。对于用户态的进程，可以查看用户态内存空间和寄存器上的数据。 Windbg 的功能 1. 进程运行的状态和系统状态的查看 2. 当前进程加载的所有 EXE/DLL 的详细信息的查看 3. 反汇编某一个地址上的指令 4. 察看某一个内存地址是否可以读/写，内容是什么 5. 列举线程的 call stack（需要 symbol） 6. 切换到 call stack 上的任意函数的上下文，察看这个函数当前的局部变量 7. 对某一个地址上的信息，指定 symbol 中的某一个类型格式化地显示出来 8. 查看和修改内存地址上的数据或者寄存器上的数据 9. 通过简单命令查看格式化的系统信息，比如 Heap, Handle, CriticalSection 等等 10. 远程调试 符号文件（Symbol file） 符号文件是将二进制数据和源码关联起来的文件。它包含的是 EXE/DLL 的符号信息。有了符号文件，当在调试器中试图读取某一个内存地址的时候，调试器会尝试在对应的 PDB 文件中配对，看这个内存地址是否有符号对应。如果能够找到，调试器就可以把对应的符号显示出来。这样极大方便了开发人员的观察。 Windbg 的基本操作 1. 设置符号文件查找路径 2. 主要以命令方式工作的，分为三类命令：标准命令、元命令（以点.开始）和扩展命令（以叹号!开始） 3. standard commands：～，~[id]s，||||，KKKK 等 4. 元命令：.blocksize，.childdbg，.dump 等 5. 扩展命令：!dump、!peb、!thread 等 使用 Windbg 的优势 1. 可以查看进程的详细信息 2. 可以调试Dump文件 3. 可以远程调试 4. 可以查看和修改内存地址上的数据 5. 可以格式化地显示系统信息 Windbg 的下载地址 http://www.microsoft.com/whdc/devtools/debugging/default.mspx