windbg简单调试内存泄漏

应该是只菜鸟

已于 2023-10-07 15:07:53 修改

阅读量957

点赞数 1

CC 4.0 BY-SA版权

分类专栏：调试器里看世界文章标签： windbg

于 2018-12-01 20:14:33 首次发布

本文链接：https://blog.youkuaiyun.com/weixin_43787608/article/details/84677988

本文介绍了如何利用windbg进行内存泄漏调试。首先通过gflags设置heap堆栈追踪，然后使用!heap系列命令分析堆分配情况，找出可疑的内存泄漏点，并通过查看堆栈追踪定位问题。最后，介绍!heap –a和!heap –x命令来查看heap的详细信息，以及如何清除调试选项。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

0x00

首先使用 gflags 设置heap堆栈追踪参数:
Gflags.exe /i +ust
设置完成后后，我们可以在
“HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options<Image Name>” GlobalFlag 中看到刚才设置的参数。
设置完不需要重启机器，直接启动需要跟踪的exe。
对于需要跟踪的exe可以使用windbg live调试或者dump调试。

0x01

使用 !heap –s 获取堆分配的情况，找到可疑的堆。
在这里插入图片描述
使用 !heap –stat –h ，获取特定堆各种size分配的block数量。注意，这里的heap handle就是 !heap –s 获取的第一列参数，实际上就是 _HEAP 的地址

这里我们随便找一个堆分析。
接下来，我们假设大小为 10ada0出现泄漏（一般是整体占比比较大的size在泄漏）。我们对这个size进行分析：
在这里插入图片描述
注意，这个命令会查找系统中所有堆的分配情况，所以列出的条目可能不只有你需要查看的堆。具体这个条目在不在需要分配的堆上，可以查看 _HEAP @ 字段。
接下来，我们检查当前条目的分配堆栈，这里需要用到 User