使用 dpu 检视 dump 中的字符串.

最新推荐文章于 2025-03-27 21:16:41 发布

转载最新推荐文章于 2025-03-27 21:16:41 发布 · 297 阅读

调试技术专栏收录该内容

58 篇文章

订阅专栏

本文介绍了如何使用WinDbg中的dpu等命令来查看内存中的Unicode和ASCII字符串，不仅适用于栈地址空间，也可用于普通内存段。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

翻译自 MDA-Anthology1 page167, WINDBG TIPS AND TRICKS.

WinDbg中有一些很好的命令像dpu (检视unicode字符串)和dpa (检视ASCII字符串)以及其它 d 开头的命令如dpp. 我们可以使用这些命令来看看栈上是否有指针指向了字符串.

例如:


0:143> !teb
TEB at 7ff2b000 
... 
StackBase: 05e90000 
StackLimit: 05e89000 
... 
... 
...
0:143> dpu 05e89000 05e90000
05e8f58c 00120010 ""
...
...
...
05e8f590 77e7723c "Debugger"
05e8f594 00000000
05e8f598 08dc0154
05e8f59c 01000040
05e8f5a0 05e8f5dc "G:\WINDOWS\system32\faultrep.dll"
05e8f5a4 0633adf0 ""
05e8f5a8 00000000
05e8f5ac 00000001
05e8f5b0 00000012
...
05e8f5d4 0633adfc "drwtsn32 -p %ld -e %ld -g"
...
...
...