Basic Windbg - 2 CLR基础

调整一下写的思路，第一部分的sos basics继续有效，原定的crash/hang/memory等，序号顺延，中间插入这个clr basics

创建一个控制台程序，代码如下：

Code
using System;
using System.Collections.Generic;
using System.Text;

namespace HelloWindbg
{
    class Program
    {
        static void Main(string[] args)
        {
            Console.WriteLine(\Hello, windbg!\);
            Console.ReadLine();
        }
    }
}

在IDE中，按Ctrl+F5运行，等到显示出来\Hello, windbg!”之后（不要按回车），启动windbg，在窗口中按F6，此时出现一个process list窗口，向下找，找到这个hellowindbg.exe进程（名字是你project编译后的exe名字，不一定与我这个相同），然后点OK确定。此时windbg会显示类似信息：

(1270.11c4): Break instruction exception - code 80000003 (first chance)
eax=7ffdc000 ebx=00000000 ecx=00000000 edx=7786d094 esi=00000000 edi=00000000
eip=77827dfe esp=01bffbcc ebp=01bffbf8 iopl=0         nv up ei pl zr na pe nc
cs=001b  ss=0023  ds=0023  es=0023  fs=003b  gs=0000             efl=00000246
ntdll!DbgBreakPoint:
77827dfe cc              int     3

这时候，加载sos扩展，命令如下：.load clr20\sos.dll
好了，可以干活了！

首先看第一个命令，!dumpdomain，运行后，我们得到如下类似结果：

0:003> !dumpdomain
--------------------------------------
System Domain: 7a3bc8b8
LowFrequencyHeap: 7a3bc8dc
HighFrequencyHeap: 7a3bc934
StubHeap: 7a3bc98c
Stage: OPEN
Name: None
--------------------------------------
Shared Domain: 7a3bc560
LowFrequencyHeap: 7a3bc584
HighFrequencyHeap: 7a3bc5dc
StubHeap: 7a3bc634
Stage: OPEN
Name: None
Assembly: 003b9368
--------------------------------------
Domain 1: 00374ec0
LowFrequencyHeap: 00374ee4
HighFrequencyHeap: 00374f3c
StubHeap: 00374f94
Stage: OPEN
SecurityDescriptor: 00376420
Name: HelloWindbg.exe
Assembly: 003b9368 [C:\Windows\assembly\GAC_32\mscorlib\2.0.0.0__b77a5c561934e089\mscorlib.dll]
ClassLoader: 0036cd88
SecurityDescriptor: 003ae6e8
  Module Name
790c2000 C:\Windows\assembly\GAC_32\mscorlib\2.0.0.0__b77a5c561934e089\mscorlib.dll
001b239c C:\Windows\assembly\GAC_32\mscorlib\2.0.0.0__b77a5c561934e089\sortkey.nlp
001b2010 C:\Windows\assembly\GAC_32\mscorlib\2.0.0.0__b77a5c561934e089\sorttbls.nlp

Assembly: 003cab78 [C:\Users\charju\Documents\Visual Studio 2008\Projects\Windbg\HelloWindbg\HelloWindbg\bin\Debug\HelloWindbg.exe]
ClassLoader: 0036ced8
SecurityDescriptor: 003caaf0
  Module Name
00192d8c C:\Users\charju\Documents\Visual Studio 2008\Projects\Windbg\HelloWindbg\HelloWindbg\bin\Debug\HelloWindbg.exe

对于上面的结果，我们有几个重要发现：
1、.net app默认情况下，会有三个AppDomain，其中分别是System Domain，Shared Domain和应用程序自己的Application Domain（就是上面的Domain 1）。
2、一个domain内包含了一个或若干个assembly

对于每个具体的domain，都可以用!dumpdomain <domain assress>来看。比如这里的app domain，可以执行命令：!dumpdomain 00374ec0，结果就不贴了，和上面的显示是一致的。

这个app domain里面我们看到，包含了两个assembly，分别是mscorlib.dll和hellowindbg.exe，前者包含了3个module，后者包含了1个module。这里我们看hellowindbg.exe的信息，对于mscorlib.dll，大家可以依据下面步骤做练习。

看assmebly信息，命令式：!dumpassembly <assembly address>，so，我们执行：!dumpassembly 003cab78（这个地址是上面的蓝色的那个数字），得到类似信息：

Parent Domain: 00374ec0
Name: C:\Users\charju\Documents\Visual Studio 2008\Projects\Windbg\HelloWindbg\HelloWindbg\bin\Debug\HelloWindbg.exe
ClassLoader: 0036ced8
SecurityDescriptor: 018c4448
  Module Name
00192d8c C:\Users\charju\Documents\Visual Studio 2008\Projects\Windbg\HelloWindbg\HelloWindbg\bin\Debug\HelloWindbg.exe

这里有几个地方可以注意：
1、assembly包含了指向domain的信息，上面的：00374ec0
2、assembly包含了一个或者若干个module。

这里只有一个module，我们继续看module里面包含啥，结果从略（我们这里不关心它）。
命令!dumpmodule有一个有用的开关，是-mt <mt address>，我们跑一下看看：!dumpmodule -mt 1caa50

0:003> !dumpmodule -mt 00192d8c
Name: C:\Users\charju\Documents\Visual Studio 2008\Projects\Windbg\HelloWindbg\HelloWindbg\bin\Debug\HelloWindbg.exe
Attributes: PEFile
Assembly: 003cab78
LoaderHeap: 00000000
TypeDefToMethodTableMap: 00190148
TypeRefToMethodTableMap: 00190150
MethodDefToDescMap: 0019019c
FieldDefToDescMap: 001901a8
MemberRefToDescMap: 001901ac
FileReferencesMap: 001901f8
AssemblyReferencesMap: 001901fc
MetaData start address: 000b206c (1456 bytes)

Types defined in this module

      MT    TypeDef Name
------------------------------------------------------------------------------
00193180 0x02000002 HelloWindbg.Program

Types referenced in this module

      MT    TypeRef Name
------------------------------------------------------------------------------
790fd0f0 0x01000001 System.Object
79101118 0x01000012 System.Console

我们能发现两个重要的东西：
1、这个module里面包含的types，这里是我们的程序主入口点：HelloWindbg.Program
2、这个module引用的types，这里是object和Console

看上面的HelloWindbg.Program，这个type对应的MethodTable地址是：00193180。我们可以继续看这个MethodTable包含啥东西：

0:003> !dumpmt 00193180
EEClass: 001912e4
Module: 00192d8c
Name: HelloWindbg.Program
mdToken: 02000002  (C:\Users\charju\Documents\Visual Studio 2008\Projects\Windbg\HelloWindbg\HelloWindbg\bin\Debug\HelloWindbg.exe)
BaseSize: 0xc
ComponentSize: 0x0
Number of IFaces in IFaceMap: 0
Slots in VTable: 6

这里有一些重要的东西可以看：
1、EEClass，可以通过!dumpclass <class address>来查看这个class的信息。如：!dumpclass 001912e4
2、包含了Module和name等信息
3、包含了Method Description 信息
4、VTable里面的slots一共6个。

MethodTable只是一个入口表，它实际指向了一堆Method Description，那么我们可以用!dumpmt继续来查看，只不过参数要修改一下：!dumpmt -md 00193180

0:003> !dumpmt -md 00193180
EEClass: 001912e4
Module: 00192d8c
Name: HelloWindbg.Program
mdToken: 02000002  (C:\Users\charju\Documents\Visual Studio 2008\Projects\Windbg\HelloWindbg\HelloWindbg\bin\Debug\HelloWindbg.exe)
BaseSize: 0xc
ComponentSize: 0x0
Number of IFaces in IFaceMap: 0
Slots in VTable: 6
--------------------------------------
MethodDesc Table
   Entry MethodDesc      JIT Name
79371278   7914b928   PreJIT System.Object.ToString()
7936b3b0   7914b930   PreJIT System.Object.Equals(System.Object)
7936b3d0   7914b948   PreJIT System.Object.GetHashCode()
793624d0   7914b950   PreJIT System.Object.Finalize()
00330070   00193170      JIT HelloWindbg.Program.Main(System.String[])
0019c01c   00193178     NONE HelloWindbg.Program..ctor()

注意---------------------以上的部分，和我们不加-md参数效果是一样的，下面多出来了6个method description的信息，这就是那个Slots in VTable:6里面的6

对于每个方法，上表有一列JIT指明了CLR是否已经对该方法进行了compile动作。上面有一个方法是JIT过了，是那个Main函数，另外的4个CLR已经预先做了JIT（为什么？想想GAC和NGEN.EXE）。那么对于具体的方法是否做过了JIT，我们可以用命令：!dumpmd来看，比如看上面的Main方法，那么!dumpmd 00193170

0:003> !dumpmd 00193170     
Method Name: HelloWindbg.Program.Main(System.String[])
Class: 001912e4
MethodTable: 00193180
mdToken: 06000001
Module: 00192d8c
IsJitted: yes
m_CodeOrIL: 00330070 text here

上面最重要的结果就是有一个IsJitted的标志，这里是yes，表明它已经被compile过了，对于compile之后的native code，我们就可以用命令!u <m_codeoril>来观察。下命令：!u 00330070，如下代码：

0:003> !u 00330070
Normal JIT generated code
HelloWindbg.Program.Main(System.String[])
Begin 00330070, size 28
>>> 00330070 50              push    eax
00330071 890c24          mov     dword ptr [esp],ecx
00330074 833d582f190000  cmp     dword ptr ds:[192F58h],0
0033007b 7405            je      HelloWindbg!HelloWindbg.Program.Main(System.String[])+0x12 (00330082)
0033007d e8c582df79      call    mscorwks!JIT_DbgIsJustMyCode (7a128347)
00330082 90              nop
00330083 8b0d4030d602    mov     ecx,dword ptr ds:[2D63040h] (\Hello, windbg!\)
00330089 e8c69c0b79      call    mscorlib_ni!System.Console.WriteLine(System.String) (793e9d54)
0033008e 90              nop
0033008f e850990b79      call    mscorlib_ni!System.Console.ReadLine() (793e99e4)
00330094 90              nop
00330095 90              nop
00330096 59              pop     ecx
00330097 c3              ret

类似的，我们可以!dumpmd 00193178，看到该方法并没有被compile（现在）,native code自然也没有生成：

0:003> !dumpmd 00193178
Method Name: HelloWindbg.Program..ctor()
Class: 001912e4
MethodTable: 00193180
mdToken: 06000002
Module: 00192d8c
IsJitted: no
m_CodeOrIL: ffffffff

好了，对于appdomain/assembly/module/method table(class)/method description，这里做了一个简单的research，我们看点别的。

0:000> !clrstack
OS Thread Id: 0x12d0 (0)
ESP       EIP    
002bf148 77839a94 [NDirectMethodFrameStandaloneCleanup: 002bf148] System.IO.__ConsoleStream.ReadFile(Microsoft.Win32.SafeHandles.SafeFileHandle, Byte*, Int32, Int32 ByRef, IntPtr)
002bf164 7948d2bb System.IO.__ConsoleStream.ReadFileNative(Microsoft.Win32.SafeHandles.SafeFileHandle, Byte[], Int32, Int32, Int32, Int32 ByRef)
002bf190 7948d1ed System.IO.__ConsoleStream.Read(Byte[], Int32, Int32)
002bf1b0 793a3350 System.IO.StreamReader.ReadBuffer()
002bf1c0 793aaa2f System.IO.StreamReader.ReadLine()
002bf1d4 79497b5a System.IO.TextReader+SyncTextReader.ReadLine()
002bf1dc 793e99f0 System.Console.ReadLine()
002bf1e0 00330094 HelloWindbg.Program.Main(System.String[])
002bf404 79e7c74b [GCFrame: 002bf404]

这里列出来的都是一些name，比如说我想看StreamReader里面有哪些方法，怎么看呢？
1、转换：用命令!name2ee <modulename>!<type or method name>。那么，module name是什么呢？我们要用lm来看一眼，加上一点clr的知识：

0:000> lm
start    end        module name
000b0000 000b8000   HelloWindbg C (private pdb symbols)  C:\Users\charju\Documents\Visual Studio 2008\Projects\Windbg\HelloWindbg\HelloWindbg\bin\Debug\HelloWindbg.pdb
75070000 7520e000   comctl32   (deferred)            
75310000 753ab000   MSVCR80    (deferred)            
761f0000 762cb000   KERNEL32   (pdb symbols)          c:\symcache\kernel32.pdb\093FA0AF6A7B4CE9B12506584036EC882\kernel32.pdb
762d0000 76328000   SHLWAPI    (deferred)            
764b0000 7654d000   USER32     (deferred)            
76610000 7662e000   IMM32      (deferred)            
766c0000 7676a000   msvcrt     (deferred)            
76770000 767bb000   GDI32      (deferred)            
767c0000 76883000   RPCRT4     (deferred)            
76890000 76956000   ADVAPI32   (deferred)            
76ab0000 775bf000   shell32    (deferred)            
775c0000 77688000   MSCTF      (deferred)            
77690000 777d4000   ole32      (deferred)            
777e0000 77907000   ntdll      (pdb symbols)          c:\symcache\ntdll.pdb\B958B2F91A5A46B889DAFAB4D140CF252\ntdll.pdb
77910000 77919000   LPK        (deferred)            
779c0000 77a3d000   USP10      (deferred)            
79000000 79046000   mscoree    (pdb symbols)          c:\symcache\mscoree.pdb\B3B672BC69034D0F8EF2A40525E64BDE2\mscoree.pdb
79060000 790b6000   mscorjit   (deferred)            
790c0000 79bf6000   mscorlib_ni C (pdb symbols)          c:\symcache\mscorlib.pdb\446AC27A973142A6900EEAF1E9EC50451\mscorlib.pdb
79e70000 7a3ff000   mscorwks   (pdb symbols)          c:\symcache\mscorwks.pdb\8BDE5914A40043B3BCC3E7F49A6C29D22\mscorwks.pdb

最终决定用这个命令：!name2ee mscorlib_ni!System.IO.StreamReader.ReadBuffer，得到下面结果：

Module: 790c2000 (mscorlib.dll)
Token: 0x06003622
MethodDesc: 7926c0a0
Name: System.IO.StreamReader.ReadBuffer()
JITTED Code Address: 793a32f4
-----------------------
Token: 0x06003623
MethodDesc: 7926c0a8
Name: System.IO.StreamReader.ReadBuffer(Char[], Int32, Int32, Boolean ByRef)
JITTED Code Address: 79498020

好了，可以走第二步了，因为上面已经拿到了Method Description的地址了，跑：!dumpmd 7926c0a0，如下：

0:000> !dumpmd 7926c0a0
Method Name: System.IO.StreamReader.ReadBuffer()
Class: 7911b210
MethodTable: 7911b288
mdToken: 06003622
Module: 790c2000
IsJitted: yes
m_CodeOrIL: 793a32f4

看到了上面的Method table地址了没？用!dumpmt -md 7911b288，可以得到这个class的所有method信息（结果从略，大家做练习吧！）

（累死我了。。。园子这个post编辑上工具条上的Insert Layer，不好用。结构都乱了！只好重新修改一次）