如何使用Windbg调试User Mode代码

最新推荐文章于 2024-06-24 18:41:05 发布
最新推荐文章于 2024-06-24 18:41:05 发布
阅读量1.2k 收藏
点赞数
CC 4.0 BY-SA版权
分类专栏： 软件调试 文章标签： user
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/mathstar/article/details/7310414
本文指导如何使用Windbg指令查找、切换至并debug当前系统运行的特定进程，包括加载程序符号、设置断点等关键步骤。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

  1. 使用指令“!Process”查找当前系统正在运行的进程，从进程列表中找到我们需要debug的进程，并记下它的PID；
  2.  切换至所需进程：使用指令“.Process /i<PID>”，该指令会导致，当系统切换进程空间到指定进程时，Windbg会break-in;
  3. 当Windbg进程被break住之后，使用“.reload /user”加载当前进程的程序symbol;
  4.  此时，用户可以下所需的断点；

Windbg调试命令汇总
dvlinker的技术专栏
10-19 2万+
Windbg调试命令汇总
【C++内存泄漏】使用Windbg排查C++程序内存泄漏问题
热门推荐
dvlinker的技术专栏
11-12 1万+
详细讲述如何使用Windbg去定位Windows C++程序中的内存泄漏。
WinDbg 入门（用户模式）
全粘工程师
08-09 411
帮助”菜单上的“内容”命令.sympath（设置符号路径）.reload（重新加载模块）x（检查符号）g（转到）在“调试”菜单上“中断”命令lm（列出已加载的模块）k（显示堆栈回溯）bu（设置断点）bl（断点列表）~（线程状态）~s（设置当前线程）.sympath+（设置符号路径）附加到现有符号路径srcpath（设置源路径）“调试”菜单上的“单步调试”命令 (F11)!analyze -vqd（退出和分离）...
以前写过的文章----用windbg内核模式调试用户态程序
weixin_33913377的博客
03-22 411
今天非常激动。。终于解决了我调试驱动非常头痛的问题。。。。 在这个过程中拜读了 znsoft的文章和高端调试的 文章，的确很牛。。。。 链接如下： http://bbs.driverdevelop.com/htm_data/125/0901/115354.html 高端调试的文章转载 http://advdbg.org/blogs/advdbg_system/ar...
WinDbg调试入门（用户模式，本地程序）
zhlei_12345的博客
12-22 1841
WinDbg 入门 （用户模式） 参考文档：Windows调试工具 Page.0 内容提要 1.使用WinDbg直接启动notepad.exe 2.启动自己的应用程序并附加WinDbg 3.命令摘要 Page.1 使用WinDbg直接启动notepad.exe 1.导航到安装目录启动WinDbg.exe 汉化的exe为：ha_windbg.exe 2. 菜单:“文件”-“打开可执行文件” 选择：C:\Windows\System32\notepad.exe 启动后见上图。 ModLoad： 说明了加载
在非开发机器上调试windows驱动和user mode客户端的的方法
jiangfuqiang的专栏
01-05 985
host os: Windows 7 with Visual Studio 2008 and vmware installedtarget os: windows xp, running on vmwareNow we are developing a user mode application using vc 2008 and a windows driver using wdk.
内核态与用户态切换
刘猿猿
08-12 722
什么是内核态用户态？ 系统态(也称为管态或核心态)，操作系统在系统态运行——运行操作系统程序 用户态(也称为目态)，应用程序只能在用户态运行——运行用户程序 用户态和内核态的转换 用户态切换到内核态的3种方式 a. 系统调用 这是用户态进程主动要求切换到内核态的一种方式，用户态进程通过系统调用申请使用操作系统提供的服务程序完成工作，比如前例中fork()实际上就是执行了一个创建新进程的系统调...
windbg调试入门（一）
最新发布
m0_60558754的博客
06-24 593
在编写完成后，右键点击项目生成，然后在文件夹中查看，生成的Project1.exe程序和Project1.pdb文件，其中pdb文件为存储的符号表，需要和exe的生成版本，或者生产时间保持一致。最后调试完毕后，使用qd退出当前运行的程序，对于已经调试到崩溃步骤的程序，如果想重新调试，则需要重新launch exe，使用reload命令则无法重新加载。在这个程序中，c的值被赋为0，当带入到func函数中的计算y时候，除0计算会导致程序崩溃，无法按期执行打印后面的x和y的值。在下面的0：000>位置输入命令。
WINDBG调试介绍 方式
08-16
在使用WINDBG调试Windows应用程序时，需要进行一系列的配置工作，包括设置符号文件路径、源代码文件路径以及应用程序路径等。 - **符号文件路径（Symbol Files Path）设置**: - 首先加载本地指定目录下的符号文件...
使用WinDbg调试Windows服务的指南
"这篇文章主要介绍了如何使用WinDbg调试Windows服务，包括在服务启动后附加调试器、配置服务启动时自动附加调试器以及解决调试过程中可能遇到的问题。" 在Windows环境中，服务是一种在后台运行的应用程序，它们通常...
Windbg调试命令详解
Boy_Kris的专栏
02-28 2711
转载注明>> 【作者：张佩】【原文：http://www.yiiyee.cn/Blog】 1. 概述 用户成功安装微软Windows调试工具集后，能够在安装目录下发现四个调试器程序，分别是：cdb.exe、ntsd.exe、kd.exe和Windbg.exe。其中cdb.exe和ntsd.exe只能调试用户程序，Kd.exe主要用于内核调试，有时候也用于用户态调试，上述三者的一个共
windbg 如何再内核模式调试用户空间的程序
windows 驱动 反汇编 逆向
04-04 2067
1：使用!process 0 0 获取用户空间的所有的进程的信息 !process 0 0**** NT ACTIVE PROCESS DUMP ****    PROCESS 80a02a60  Cid: 0002    Peb: 00000000  ParentCid: 0000    DirBase: 00006e05  ObjectTable: 80a03788  TableSiz
Windbg 内核态调试用户态程序
yjz1409276的专栏
05-30 1648
使用!process 0 0 进程名或ID得到EPROCESS 使用.process /p + EPROCESS切换到应用程序的地址空间 重新加载user PDB文件：.reload /f /user 使用非侵入式的切换进程空间：.process /i /p EPROCESS 下应用层断点，执行
9.windbg-!sym、.reload、!chksym
hgy413的专栏
05-12 9394
以下示例以windbg加载calc.exe为例: 1.!sym !sym扩展控制显示详细的符号加载和符号提示。 .!sym :不带参数表示显示当前的详细符号加载和符号提示的设置状态 给个示例: 0:001> !sym !sym - noisy mode - symbol prompts on 其实细心点可以看出sym的四种状态了,noisy/quiet -prompts/promp
windbg的reload命令
erikaIT的博客
02-03 3318
.reload，重新加载模块的符号 1、.reload，重新加载所有模块符号，但不会立即加载，任何解析符号的动作都会导致重新加载 2、.reload moduleName，重新加载指定模块符号 3、.reload -f，立即重新加载所有模块的符号文件 4、.reload -f moduleName，立即重新加载指定模块的符号文件
windbg常用命令总结
萧戈的专栏
06-20 3208
    命令                           解析 !process 0 0                显示所有进程 !dt _EPROCESS 地址          所有进程的EPROCESS信息 !process 地址               显示进程的关键信息 !token                      查看访问令牌的有关信息 !ha
windbg内核模式调试用户态程序
Steven_programe_life的专栏
05-16 527
使用内核调试会话也可以执行一些用户态调试任务，比如向位于用户态的模块设置断点。但这样做与使用用户态调试器有什么不同呢？我们就以向NTDLL.dll模块的ZwTerminateProcess函数（Stub）为例谈谈二者的区别。 区别一、在内核调试会话中设置这个断点的“难度”略大些。这是因为NTDLL不属于内核态的模块，所以内核会话通常不会加载这个模块（的符号），因此当执行bp命令时很可能被自动蜕化为bu命令。 0: kd> bp ntdll!ZwTerminateProcess ..
如何分析Windows的dump文件 (usermode篇)
llnatalie的专栏
01-28 6236
Windows的dump文件一般分为两种，一种是usermode的dump，比如一些应用程序崩溃之后生成的dump文件，另外一种是kernelmode的dump，比如一些驱动出错导致的蓝屏之后生成的dump文件。     这里我打算就这两种情况各举一例分别进行说明。     最常用的分析windows的dump文件的软件当属windbg了，虽然visualstudio也能用来分析，但一般用的不
微软WinDbg调试工具的获取与使用
标题："微软WinDbg调试工具下载" 描述："WinDbg是微软发布的一款相当优秀的源码级(source-level)调试工具，可以用于Kernel模式调试和用户模式调试，还可以调试Dump文件。" 标签："windbg" 压缩包子文件的文件名称...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值