图南堂

Windows高级调试(学习笔记)-第二章-调试器介绍

Chapter 2 Introduction to Debuggers

2.1 调试器基础知识

2.1.1 Debugger Types调试器类型

User Mode Deduggers(用户态调试器)
实时调试(Living Debugging)、事后调试(Postmortem Debugging)
三个用户态调试器:cdb.exe、nstd.exe及windbg.exe
Kernel Mode Debugger(内核态调试器)
可以分析计算机系统
二个内核态调试器：kd.exe及windbg.exe

2.1.2 Debugger Commands调试器命令

built-in command 内置命令：kP
meta-command 元命令： .help
extension command 扩展命令：!thread (格式：!module.extension [arguments])

2.1.3 Setting up the Debuggers调试器配置

用户态调试器
被调试的目标映像以及与映像相关的符号信息
内核态调试器

2.2 Basic Debugger Tasks基本调试任务

2.2.1 Entering Debugger Commands输入调试命令

2.2.2 Interpreting the Debugger Prompt解析调试器提示信息

vertarget (Show Target Computer Version,显示目标计算机版本)
.lastevent (Display Last Event,显示最后一个事件)
3cfc.1998 （十六进制),其中3cfc为进程ID，1998为线程ID
0:000> 0表示用户(同时调试多个进程时，分别0、1…)，000为线程编号

2.2.3 Setting Up and Using the Symbols配置和使用符号

符号文件格式：COFF(Common Object File Format)
CV(CodeView format)
PDB(Program Database format)
符号文件包含的内容：

全局变量的名字和地址
函数名、地址及其原型
帧指针代码（Frame Pointer Optimization,FPO)数据
局部变量的名字和地址
源文件路径以及每个符号的行号
变量、结构等的类型信息

2.2.4 Symbol Path符号路径

符号路径可以为：本地路径、UNC共享连接或符号服务器，多个用“;”分号隔开
命令：
.sympath[+] [path1[;path2[;…]]] Set Symbol Path设置符号路径
追加(+)或替换符号路径，多个用";"隔开
从https://msdl.microsoft.com/download/symbols下载的符号缓存到本地I:\Symbols目录下

.sympath cache*I:\Symbols;srv*https://msdl.microsoft.com/download/symbols
.sympath srv*I:\Symbols*https://msdl.microsoft.com/download/symbols
.sympath //显示设置的符号路径

使用agestore维护过期缓存
列2023-11-01之后没有访问过的文件（不加-l的话，直接删除，谨慎使用)

I:\Symbols\>agestore.exe -date=11-01-23 -l -s I:\Symbols

2.2.5 Setting the Symbol Path设置符号路径

系统变量 _NT_ALT_SYMBOL_PATH 和 _NT_SYMBOL_PATH
可通过在程序启动时，通过

C:\>windbg -y 符号路径 调试程序.exe

.symfix[+] [LocalSymbolCache]
.symfix I:\Symbols 相同于 .sympath cacheI:\Symbols;SRVhttps://msdl.microsoft.com/download/symbols

2.2.6 Checking the Loaded Modules and Symbol Files检查已加载的模块和符号

lm 列出已加载模块

lm options [a Address] [m pattern | M Pattern](List Loaded Modules,列出已加载模块) 详细介绍

0:000> lm
start             end                 module name
00007ff6`c5920000 00007ff6`c5947000   02Sample C (private pdb symbols)  H:\Books\AdvWinDebug\AdvancedWindowsDebugging\awd\x64\Debug\02Sample.pdb
00007ffa`74f80000 00007ffa`75061000   MSVCP140D   (deferred)             
00007ffa`75070000 00007ffa`75291000   ucrtbased   (deferred)             
00007ffa`77370000 00007ffa`7739e000   VCRUNTIME140D   (deferred)             
00007ffb`073b0000 00007ffb`073bf000   VCRUNTIME140_1D   (deferred)             
00007ffb`3b340000 00007ffb`3b3d0000   apphelp    (deferred)             
00007ffb`3ec50000 00007ffb`3ef46000   KERNELBASE   (deferred)             
00007ffb`3f340000 00007ffb`3f3fd000   KERNEL32   (deferred)             
00007ffb`412b0000 00007ffb`414a8000   ntdll      (pdb symbols)          i:\symbols\ntdll.pdb\A372A05ADCAA11CA41FD4A931AB93BB31\ntdll.pdb

lm l 列有符号的模块

0:000> lm l 
start             end                 module name
00007ff6`c5920000 00007ff6`c5947000   02Sample C (private pdb symbols)  H:\Books\AdvWinDebug\AdvancedWindowsDebugging\awd\x64\Debug\02Sample.pdb
00007ffb`412b0000 00007ffb`414a8000   ntdll      (pdb symbols)          i:\symbols\ntdll.pdb\A372A05ADCAA11CA41FD4A931AB93BB31\ntdll.pdb

lm f 列出模块路径

0:000> lm f	
start             end                 module name
00007ff6`c5920000 00007ff6`c5947000   02Sample 02Sample.exe
00007ffa`74f80000 00007ffa`75061000   MSVCP140D C:\WINDOWS\SYSTEM32\MSVCP140D.dll
00007ffa`75070000 00007ffa`75291000   ucrtbased C:\WINDOWS\SYSTEM32\ucrtbased.dll
00007ffa`77370000 00007ffa`7739e000   VCRUNTIME140D C:\WINDOWS\SYSTEM32\VCRUNTIME140D.dll
00007ffb`073b0000 00007ffb`073bf000   VCRUNTIME140_1D C:\WINDOWS\SYSTEM32\VCRUNTIME140_1D.dll
00007ffb`3b340000 00007ffb`3b3d0000   apphelp  C:\WINDOWS\SYSTEM32\apphelp.dll
00007ffb`3ec50000 00007ffb`3ef46000   KERNELBASE C:\WINDOWS\System32\KERNELBASE.dll
00007ffb`3f340000 00007ffb`3f3fd000   KERNEL32 C:\WINDOWS\System32\KERNEL32.DLL
00007ffb`412b0000 00007ffb`414a8000   ntdll    ntdll.dll

lm a Address 列出某个地址所在的模块

0:000> lm a 00007ff6`c5930000
Browse full module list
start             end                 module name
00007ff6`c5920000 00007ff6`c5947000   02Sample C (private pdb symbols)  H:\Books\AdvWinDebug\AdvancedWindowsDebugging\awd\x64\Debug\02Sample.pdb

lm m Pattern 列出模块名称匹配的模块

0:000> lm m *samp*
Browse full module list
start             end                 module name
00007ff6`c5920000 00007ff6`c5947000   02Sample C (private pdb symbols)  H:\Books\AdvWinDebug\AdvancedWindowsDebugging\awd\x64\Debug\02Sample.pdb

lm M Partten 列出路径匹配的模块

0:000> lm f M *32*
Browse full module list
start             end                 module name
00007ffa`74f80000 00007ffa`75061000   MSVCP140D C:\WINDOWS\SYSTEM32\MSVCP140D.dll
00007ffa`75070000 00007ffa`75291000   ucrtbased C:\WINDOWS\SYSTEM32\ucrtbased.dll
00007ffa`77370000 00007ffa`7739e000   VCRUNTIME140D C:\WINDOWS\SYSTEM32\VCRUNTIME140D.dll
00007ffb`073b0000 00007ffb`073bf000   VCRUNTIME140_1D C:\WINDOWS\SYSTEM32\VCRUNTIME140_1D.dll
00007ffb`3b340000 00007ffb`3b3d0000   apphelp  C:\WINDOWS\SYSTEM32\apphelp.dll
00007ffb`3ec50000 00007ffb`3ef46000   KERNELBASE C:\WINDOWS\System32\KERNELBASE.dll
00007ffb`3f340000 00007ffb`3f3fd000   KERNEL32 C:\WINDOWS\System32\KERNEL32.DLL

!lmi 显示模块详细内容

!lmi Module 详细介绍
Module:可以为模块名或地址

0:000> !lmi ntdll.dll
Loaded Module Info: [ntdll.dll] 
         Module: ntdll
   Base Address: 00007ffb412b0000
     Image Name: ntdll.dll
   Machine Type: 34404 (X64)
     Time Stamp: 9b64aa6f (This is a reproducible build file hash, not a true timestamp)
           Size: 1f8000
       CheckSum: 1f1c9f
Characteristics: 2022  
Debug Data Dirs: Type  Size     VA  Pointer
             CODEVIEW    22, 140130,  13cf30 RSDS - GUID: {A372A05A-DCAA-11CA-41FD-4A931AB93BB3}
               Age: 1, Pdb: ntdll.pdb
                 POGO   698, 140154,  13cf54 [Data not mapped]
                REPRO    24, 1407ec,  13d5ec Reproducible build
           DLLCHAR_EX     4, 140810,  13d610 Extended DLL characteristics: 00000001
                                                 CET compatible
     Image Type: FILE     - Image read successfully from debugger.
                 C:\WINDOWS\SYSTEM32\ntdll.dll
    Symbol Type: PDB      - Symbols loaded successfully from symbol server.
                 i:\symbols\ntdll.pdb\A372A05ADCAA11CA41FD4A931AB93BB31\ntdll.pdb
    Load Report: public symbols , not source indexed 
                 i:\symbols\ntdll.pdb\A372A05ADCAA11CA41FD4A931AB93BB31\ntdll.pdb

!dh 显示映像头信息

详细介绍
调试堆栈溢出时

0:000> !dh -h
Usage: dh [options] address
Dumps headers from an image based at address
Options:
   -a      Dump everything
   -f      Dump file headers
   -s      Dump section headers
   -e      Dump exports
   -i      Dump imports

调试堆栈溢出问题时，可能需要!dh | -f来参数stack reserve size

0:000> !dh ntdll.dll -f

File Type: DLL
FILE HEADER VALUES
    8664 machine (X64)
       A number of sections
9B64AA6F time date stamp Mon Aug 12 16:55:11 2052

       0 file pointer to symbol table
       0 number of symbols
      F0 size of optional header
    2022 characteristics
            Executable
            App can handle >2gb addresses
            DLL

OPTIONAL HEADER VALUES
     20B magic #
   14.20 linker version
  119A00 size of code
   D6200 size of initialized data
       0 size of uninitialized data
       0 address of entry point
    1000 base of code
         ----- new -----
00007ffb412b0000 image base
    1000 section alignment
     200 file alignment
       3 subsystem (Windows CUI)
   10.00 operating system version
   10.00 image version
   10.00 subsystem version
  1F8000 size of image
     400 size of headers
  1F1C9F checksum
0000000000040000 size of stack reserve
0000000000001000 size of stack commit
0000000000100000 size of heap reserve
0000000000001000 size of heap commit
    4160  DLL characteristics
            High entropy VA supported
            Dynamic base
            NX compatible
            Guard
  152180 [   12EE1] address [size] of Export Directory
       0 [       0] address [size] of Import Directory
  186000 [   70508] address [size] of Resource Directory
  172000 [    E4F0] address [size] of Exception Directory
  1E8A00 [    6C28] address [size] of Security Directory
  1F7000 [     544] address [size] of Base Relocation Directory
  126960 [      70] address [size] of Debug Directory
       0 [       0] address [size] of Description Directory
       0 [       0] address [size] of Special Directory
       0 [       0] address [size] of Thread Storage Directory
  11DB80 [     118] address [size] of Load Configuration Directory
       0 [       0] address [size] of Bound Import Directory
       0 [       0] address [size] of Import Address Table Directory
       0 [       0] address [size] of Delay Import Directory
       0 [       0] address [size] of COR20 Header Directory
       0 [       0] address [size] of Reserved Directory

2.2.7 Reloading the Symbols重新加载符号

.reload Reload Module重新加载模块
错误的符号比没有符号更糟糕

0:000> .reload /f ntdll.dll
0:000> !sym noisy

2.2.8 validating Symbols验证符号

!chksym Module [Symbol] 添加链接描述

0:000> !chksym ntdll.dll

ntdll.dll
    Timestamp: 9B64AA6F
  SizeOfImage: 1F8000
          pdb: ntdll.pdb
      pdb sig: A372A05A-DCAA-11CA-41FD-4A931AB93BB3
          age: 1

Loaded pdb is i:\symbols\ntdll.pdb\A372A05ADCAA11CA41FD4A931AB93BB31\ntdll.pdb

ntdll.pdb
      pdb sig: A372A05A-DCAA-11CA-41FD-4A931AB93BB3
          age: 3

age MISMATCH: ntdll.pdb and ntdll.dll

age MISMATH??

2.2.9 Using Symbols使用符号

x [Options] Module!Symbol
x [Options] *
Examine Symbols检查符号

0:000> x notepad!*winMain*; *搜索notepad中函数名包含winMain的函数
00007ff6`fde1ad5c notepad!wWinMain (wWinMain)
00007ff6`fde36f78 notepad!_imp__get_wide_winmain_command_line = <no type information>
00007ff6`fde33e90 notepad!wWinMainCRTStartup (wWinMainCRTStartup)
00007ff6`fde36f78 notepad!_imp__o__get_wide_winmain_command_line = <no type information>
00007ff6`fde34dc0 notepad!get_wide_winmain_command_line (_get_wide_winmain_command_line)
00007ff6`fde34dc0 notepad!o__get_wide_winmain_command_line (_o__get_wide_winmain_command_line)
0:000> x /v /t notepad!*winMain*
pub func   00007ff6`fde1ad5c    0 <NoType> notepad!wWinMain (wWinMain)
pub global 00007ff6`fde36f78    0 <NoType> notepad!_imp__get_wide_winmain_command_line = <no type information>
pub func   00007ff6`fde33e90    0 <NoType> notepad!wWinMainCRTStartup (wWinMainCRTStartup)
pub global 00007ff6`fde36f78    0 <NoType> notepad!_imp__o__get_wide_winmain_command_line = <no type information>
pub func   00007ff6`fde34dc0    0 <NoType> notepad!get_wide_winmain_command_line (_get_wide_winmain_command_line)
pub func   00007ff6`fde34dc0    0 <NoType> notepad!o__get_wide_winmain_command_line (_o__get_wide_winmain_command_line)

ln [/D] Address List Nearest Symbols列出最近符号/函数

0:000> ln 00007ff6`fde1ad5D
Browse module
Set bu breakpoint

(00007ff6`fde1ad5c)   notepad!wWinMain+0x1   |  (00007ff6`fde1b120)   notepad!UpdateStatusBar

00007ff6`fde1ad5D地址离notepad!wWinMain与notepad!UpdateStatusBar函数最近

2.2.10 Using Source Files使用源代码

.srcpath[+] [Directory [; …]]
.lsrcpath[+] [Directory [; …]]
.srcpath, .lsrcpath (Set Source Path设置源码路径)

0:000> .srcpath+ H:\Books\AdvWinDebug\AdvancedWindowsDebugging\02Sample
Source search path is: SRV*;H:\Books\AdvWinDebug\AdvancedWindowsDebugging\01Sample;H:\Books\AdvWinDebug\AdvancedWindowsDebugging\02Sample

************* Path validation summary **************
Response                         Time (ms)     Location
Deferred                                       SRV*
OK                                             H:\Books\AdvWinDebug\AdvancedWindowsDebugging\01Sample
OK                                             H:\Books\AdvWinDebug\AdvancedWindowsDebugging\02Sample

.srcnoisy [Options] Noisy Source Loading源码加载详细级别

0:000> .srcnoisy 3
Noisy source output: on
Noisy source server output: on
Filter out everything but source server output: on

.srcfix[+] [Paths]
.lsrcfix[+] [Paths] Use Source Server使用源代码服务器

2.2.11 Exploratory Commands分析命令

Why Did the Debugger Stop?为什么调试会停止?

.lastevent显示最后导致调试停止的信息

0:000>
* after a breakpoint 命中断点
0:000> .lastevent
Last event: 170c.1464: Hit breakpoint 2 
0:000>
* after an access violation exception 访问异常
0:000> .lastevent
Last event: 170c.1464: Access violation - code c0000005 (first chance)

What Is the Target System?目标系统是什么

vertarget显示调试目标系统
version显示调试器版本

0:000> vertarget
Windows 10 Version 19045 MP (8 procs) Free x64
Product: WinNt, suite: SingleUserTS
Edition build lab: 19041.1.amd64fre.vb_release.191206-1406
Debug session time: Sat Jan 13 11:28:04.788 2024 (UTC + 8:00)
System Uptime: 0 days 4:05:59.980
Process Uptime: 0 days 0:21:48.951
  Kernel time: 0 days 0:00:00.015
  User time: 0 days 0:00:00.000
0:000> version
Windows 10 Version 19045 MP (8 procs) Free x64
Product: WinNt, suite: SingleUserTS
Edition build lab: 19041.1.amd64fre.vb_release.191206-1406
Debug session time: Sat Jan 13 11:28:08.536 2024 (UTC + 8:00)
System Uptime: 0 days 4:06:03.729
Process Uptime: 0 days 0:21:52.699
  Kernel time: 0 days 0:00:00.015
  User time: 0 days 0:00:00.000
Live user mode: <Local>

Microsoft (R) Windows Debugger Version 10.0.25921.1001 AMD64
Copyright (c) Microsoft Corporation. All rights reserved.

command line: '"C:\Program Files\WindowsApps\Microsoft.WinDbg_1.2308.2002.0_x64__8wekyb3d8bbwe\amd64\EngHost.exe" npipe:pipe=DbgX_0403642972494e61961ad9e753d9ac04,password=81289214ae18 "C:\Program Files\WindowsApps\Microsoft.WinDbg_1.2308.2002.0_x64__8wekyb3d8bbwe\amd64" "I:\symbols"'  Debugger Process 0x3614 
dbgeng:  image 10.0.25921.1001, 
        [path: C:\Program Files\WindowsApps\Microsoft.WinDbg_1.2308.2002.0_x64__8wekyb3d8bbwe\amd64\dbgeng.dll]
dbghelp: image 10.0.25921.1001, 
        [path: C:\Program Files\WindowsApps\Microsoft.WinDbg_1.2308.2002.0_x64__8wekyb3d8bbwe\amd64\dbghelp.dll]
        DIA version: 32595
Extension DLL search Path:
    C:\Program Files\WindowsApps\Microsoft.WinDbg_1.2308.2002.0_x64__8wekyb3d8bbwe\amd64\WINXP;C:\Program Files\WindowsApps\Microsoft.WinDbg_1.2308.2002.0_x64__8wekyb3d8bbwe\amd64\winext;C:\Program Files\WindowsApps\Microsoft.WinDbg_1.2308.2002.0_x64__8wekyb3d8bbwe\amd64\winext\arcade;C:\Program Files\WindowsApps\Microsoft.WinDbg_1.2308.2002.0_x64__8wekyb3d8bbwe\amd64\pri;C:\Program Files\WindowsApps\Microsoft.WinDbg_1.2308.2002.0_x64__8wekyb3d8bbwe\amd64;C:\Users\ryt\AppData\Local\Dbg\EngineExtensions;C:\Program Files\WindowsApps\Microsoft.WinDbg_1.2308.2002.0_x64__8wekyb3d8bbwe\amd64;E:\Program Files (x86)\VMware\VMware Workstation\bin\;E:\Program Files (x86)\Eziriz\.NET Reactor;C:\Program Files (x86)\Common Files\Oracle\Java\javapath;E:\ProgramData\Anaconda3\Scripts\;E:\ProgramData\Anaconda3;C:\Program Files (x86)\Eziriz\.NET Reactor;C:\WINDOWS\System32\Wbem;C:\WINDOWS\System32\WindowsPowerShell\v1.0\;C:\WINDOWS\System32\OpenSSH\;C:\Program Files\Microsoft SQL Server\120\Tools\Binn\;C:\Program Files\Microsoft SQL Server\Client SDK\ODBC\110\Tools\Binn\;C:\Program Files\TortoiseSVN\bin;C:\Program Files\Microsoft SQL Server\130\Tools\Binn\;D:\opencv\build\x64\vc16\bin;C:\Program Files\dotnet\;C:\Program Files\Microsoft SQL Server\Client SDK\ODBC\170\Tools\Binn\;C:\Program Files (x86)\Common Files\Aveva Shared\Plot\;C:\Program Files\Intel\WiFi\bin\;C:\Program Files\Common Files\Intel\WirelessCommon\;C:\Program Files\dotnet\sdk\5.0.100-preview.7.20366.6\;C:\Program Files\Common Files\Autodesk Shared\;C:\ProgramData\chocolatey\bin;C:\WINDOWS\system32;C:\WINDOWS;E:\Program Files\Git\cmd;C:\Program Files (x86)\Microsoft SQL Server\150\DTS\Binn\;C:\Program Files (x86)\Microsoft SQL Server\150\Tools\Binn\;C:\Program Files\Microsoft SQL Server\150\Tools\Binn\;C:\Program Files\Microsoft SQL Server\150\DTS\Binn\;E:\ProgramData\Anaconda3\Library\bin;E:\ProgramData\Anaconda3\Lib;C:\Program Files\NVIDIA Corporation\NVIDIA NvDLISR;E:\ProgramData\Anaconda3;E:\Program Files\CMake\bin;C:\Program Files\Microsoft VS Code\bin;E:\Program Files (x86)\PreEmptive Protection Dotfuscator Professional Evaluation 6.0.1\;C:\Program Files\NVIDIA Corporation\Nsight Compute 2022.3.0\;G:\Android\Appium\jdk-9\BIN;G:\Android\nodeJs;E:\Android\sdk\platform-tools;E:\Android\sdk\tools;C:\Program Files\NVIDIA Corporation\Nsight Compute 2022.1.1\;C:\Program Files (x86)\Windows Kits\10\Windows Performance Toolkit\;C:\Users\ryt\.dnx\bin;C:\Users\ryt\AppData\Local\Microsoft\WindowsApps;C:\Users\ryt\.dotnet\tools;C:\Users\ryt\AppData\Local\Microsoft\WindowsApps;C:\Users\ryt\.dotnet\tools;F:\sqlite3;E:\PyCharm\bin;E:\Program Files\JetBrains\PyCharm 2022.1.3\bin;C:\Users\ryt\.dotnet\tools;E:\Programs\Fiddler;C:\Users\ryt\.dotnet\tools
Extension DLL chain:
    DbgEngCoreDMExt: image 10.0.25921.1001, API 0.0.0, 
        [path: C:\Program Files\WindowsApps\Microsoft.WinDbg_1.2308.2002.0_x64__8wekyb3d8bbwe\amd64\winext\DbgEngCoreDMExt.dll]
    dbghelp: image 10.0.25921.1001, API 10.0.6, 
        [path: C:\Program Files\WindowsApps\Microsoft.WinDbg_1.2308.2002.0_x64__8wekyb3d8bbwe\amd64\dbghelp.dll]
    exts: image 10.0.25921.1001, API 1.0.0, 
        [path: C:\Program Files\WindowsApps\Microsoft.WinDbg_1.2308.2002.0_x64__8wekyb3d8bbwe\amd64\WINXP\exts.dll]
    uext: image 10.0.25921.1001, API 1.0.0, 
        [path: C:\Program Files\WindowsApps\Microsoft.WinDbg_1.2308.2002.0_x64__8wekyb3d8bbwe\amd64\winext\uext.dll]
    ntsdexts: image 10.0.25921.1001, API 1.0.0, 
        [path: C:\Program Files\WindowsApps\Microsoft.WinDbg_1.2308.2002.0_x64__8wekyb3d8bbwe\amd64\WINXP\ntsdexts.dll]

What Are the Current Register Values?当前寄存器的值是什么?

[~Thread] r[M Mask|F|X|?] [ Register[:[Num]Type] [= [Value]] ]
r. Register寄存器

0:000> r; *查看当前线程的寄存器
rax=0000000000000000 rbx=00007ffb5cb15a10 rcx=00007ffb5ca8d484
rdx=0000000000000000 rsi=0000000000000010 rdi=000000a7f5be1000
rip=00007ffb5cac0730 rsp=000000a7f5cfee20 rbp=0000000000000000
 r8=000000a7f5cfee18  r9=0000000000000000 r10=0000000000000000
r11=0000000000000246 r12=0000000000000040 r13=0000000000000000
r14=00007ffb5cb15900 r15=00000258a68a0000
iopl=0         nv up ei pl zr na po nc
cs=0033  ss=002b  ds=002b  es=002b  fs=0053  gs=002b             efl=00000246
ntdll!LdrpDoDebuggerBreak+0x30:
00007ffb`5cac0730 cc              int     3

0:000> ~1 r;*查看1号线程的寄存器
rax=00000000000001d5 rbx=00000258a69c8130 rcx=0000000000000084
rdx=00000258a69c7db0 rsi=00000258a69c5ac0 rdi=00000258a69c8130
rip=00007ffb5ca90a74 rsp=000000a7f5dff8e8 rbp=0000000000000000
 r8=00000000000005e7  r9=00000000000005e7 r10=00000000000005e7
r11=00000000000005e7 r12=0000000000000000 r13=0000000000000000
r14=0000000000000000 r15=0000000000000000
iopl=0         nv up ei pl zr na po nc
cs=0033  ss=002b  ds=002b  es=002b  fs=0053  gs=002b             efl=00000246
ntdll!NtWaitForWorkViaWorkerFactory+0x14:
00007ffb`5ca90a74 c3              ret
0:000>reax=1; 修改eax=1

0:000> r $ip;*指令指针寄存器
$ip=00007ffb5cac0730
0:000> r $ra;*当前函数的返回地址
$ra=00007ffb5cac3bba
0:000> r $retreg;*主要的值寄存器
$retreg=0000000000000000
0:000> r $csp;*当前的栈指针
$csp=000000a7f5cfee20
0:000> r $proc;*当前的进程
$proc=000000a7f5be1000
0:000> r $thread;*当前的线程
$thread=000000a7f5be2000
0:000> r $tpid;*当前进程的标训(PID)
$tpid=00000000000040c8
0:000> r $tid;*当前线程的标识(TID)
$tid=00000000000017c8

What Code Is the Processor Executing Now?处理器当前执行的代码是什么?

u[u|b] Range
u[u|b] Address
u[u|b]
Unassemble反汇编
从当前$ip开始，反汇编8条指令

0:000> u .
ntdll!LdrpDoDebuggerBreak+0x30:
00007ffb`5cac0730 cc              int     3
00007ffb`5cac0731 eb00            jmp     ntdll!LdrpDoDebuggerBreak+0x33 (00007ffb`5cac0733)
00007ffb`5cac0733 4883c438        add     rsp,38h
00007ffb`5cac0737 c3              ret
00007ffb`5cac0738 cc              int     3
00007ffb`5cac0739 cc              int     3
00007ffb`5cac073a cc              int     3
00007ffb`5cac073b cc              int     3

ub . 向前反汇编8条指令

0:000> ub .
ntdll!LdrpDoDebuggerBreak+0x10:
00007ffb`5cac0710 4c8d442440      lea     r8,[rsp+40h]
00007ffb`5cac0715 418d5110        lea     edx,[r9+10h]
00007ffb`5cac0719 48c7c1feffffff  mov     rcx,0FFFFFFFFFFFFFFFEh
00007ffb`5cac0720 e84bcdfcff      call    ntdll!NtQueryInformationThread (00007ffb`5ca8d470)
00007ffb`5cac0725 85c0            test    eax,eax
00007ffb`5cac0727 780a            js      ntdll!LdrpDoDebuggerBreak+0x33 (00007ffb`5cac0733)
00007ffb`5cac0729 807c244000      cmp     byte ptr [rsp+40h],0
00007ffb`5cac072e 7503            jne     ntdll!LdrpDoDebuggerBreak+0x33 (00007ffb`5cac0733)

0:000> u 00007ffb`5cac0710 00007ffb`5cac0737
ntdll!LdrpDoDebuggerBreak+0x10:
00007ffb`5cac0710 4c8d442440      lea     r8,[rsp+40h]
00007ffb`5cac0715 418d5110        lea     edx,[r9+10h]
00007ffb`5cac0719 48c7c1feffffff  mov     rcx,0FFFFFFFFFFFFFFFEh
00007ffb`5cac0720 e84bcdfcff      call    ntdll!NtQueryInformationThread (00007ffb`5ca8d470)
00007ffb`5cac0725 85c0            test    eax,eax
00007ffb`5cac0727 780a            js      ntdll!LdrpDoDebuggerBreak+0x33 (00007ffb`5cac0733)
00007ffb`5cac0729 807c244000      cmp     byte ptr [rsp+40h],0
00007ffb`5cac072e 7503            jne     ntdll!LdrpDoDebuggerBreak+0x33 (00007ffb`5cac0733)
00007ffb`5cac0730 cc              int     3
00007ffb`5cac0731 eb00            jmp     ntdll!LdrpDoDebuggerBreak+0x33 (00007ffb`5cac0733)
00007ffb`5cac0733 4883c438        add     rsp,38h
00007ffb`5cac0737 c3              ret

uf [Options] Address Unassemble Function反汇编整个函数

0:000> uf .
ntdll!LdrpDoDebuggerBreak:
00007ffb`5cac0700 4883ec38        sub     rsp,38h
00007ffb`5cac0704 488364242000    and     qword ptr [rsp+20h],0
00007ffb`5cac070a 41b901000000    mov     r9d,1
00007ffb`5cac0710 4c8d442440      lea     r8,[rsp+40h]
00007ffb`5cac0715 418d5110        lea     edx,[r9+10h]
00007ffb`5cac0719 48c7c1feffffff  mov     rcx,0FFFFFFFFFFFFFFFEh
00007ffb`5cac0720 e84bcdfcff      call    ntdll!NtQueryInformationThread (00007ffb`5ca8d470)
00007ffb`5cac0725 85c0            test    eax,eax
00007ffb`5cac0727 780a            js      ntdll!LdrpDoDebuggerBreak+0x33 (00007ffb`5cac0733)  Branch

ntdll!LdrpDoDebuggerBreak+0x29:
00007ffb`5cac0729 807c244000      cmp     byte ptr [rsp+40h],0
00007ffb`5cac072e 7503            jne     ntdll!LdrpDoDebuggerBreak+0x33 (00007ffb`5cac0733)  Branch

ntdll!LdrpDoDebuggerBreak+0x30:
00007ffb`5cac0730 cc              int     3
00007ffb`5cac0731 eb00            jmp     ntdll!LdrpDoDebuggerBreak+0x33 (00007ffb`5cac0733)  Branch

ntdll!LdrpDoDebuggerBreak+0x33:
00007ffb`5cac0733 4883c438        add     rsp,38h
00007ffb`5cac0737 c3              ret

$ip 往后两条指令

0:000> u . L2
ntdll!LdrpDoDebuggerBreak+0x30:
00007ffb`5cac0730 cc              int     3
00007ffb`5cac0731 eb00            jmp     ntdll!LdrpDoDebuggerBreak+0x33 (00007ffb`5cac0733)

$ip往前两条指令

0:000> ub . L2
ntdll!LdrpDoDebuggerBreak+0x29:
00007ffb`5cac0729 807c244000      cmp     byte ptr [rsp+40h],0
00007ffb`5cac072e 7503            jne     ntdll!LdrpDoDebuggerBreak+0x33 (00007ffb`5cac0733)

$i p 到$ ip+a之间

0:000> u . .+a
ntdll!LdrpDoDebuggerBreak+0x30:
00007ffb`5cac0730 cc              int     3
00007ffb`5cac0731 eb00            jmp     ntdll!LdrpDoDebuggerBreak+0x33 (00007ffb`5cac0733)
00007ffb`5cac0733 4883c438        add     rsp,38h
00007ffb`5cac0737 c3              ret
00007ffb`5cac0738 cc              int     3
00007ffb`5cac0739 cc              int     3
00007ffb`5cac073a cc              int     3

What Is the Current Call Stack?当前调用栈是什么?

当进入函数时，编译器将生成栈帧(Stack Frame),栈帧的基指针是通过寄存器ebp来维护的。函数前导指令(Function prolog)将把ebp的当前值保存在栈上，然后将当前栈帧的基指针值加载到ebp中，这个值将被一直保留直到执行函数后继指令(Function Epilog)。在函数中，编译器通过将ebp与正偏移相加来获得函数输入参数的地址，通过将ebp与负偏黎相加来获得函数中分配的局部变量的地址。

0:000> uf 02Sample!KBTest::Fibonacci_stdcall
02Sample!KBTest::Fibonacci_stdcall [H:\Books\AdvWinDebug\AdvancedWindowsDebugging\Awd\02Sample\02Sample.cpp @ 114]:
  114 007039e0 55              push    ebp
  114 007039e1 8bec            mov     ebp,esp
...
  121 00703a7b 8be5            mov     esp,ebp
  121 00703a7d 5d              pop     ebp
  121 00703a7e c20400          ret     4

调用时保存ebp，最后还原ebp
[~Thread] k[b|p|P|v] [c] [n] [f] [L] [M] [FrameCount]
[~Thread] k[b|p|P|v] [c] [n] [f] [L] [M] = StackPtr FrameCount
[~Thread] k[b|p|P|v] [c] [n] [f] [L] [M] = StackPtr InstructionPtr FrameCount
[~Thread] kd [WordCount]
Display Stack Backtrace显示堆栈回溯

0:000> k
0:000> k
 # ChildEBP RetAddr      
00 010ff1dc 006b3a3d     KERNELBASE!wil::details::DebugBreak+0x2
01 010ff2b4 006b3a69     02Sample!KBTest::Fibonacci_stdcall+0x5d [H:\Books\AdvWinDebug\AdvancedWindowsDebugging\Awd\02Sample\02Sample.cpp @ 117] 
02 010ff390 006b3a5b     02Sample!KBTest::Fibonacci_stdcall+0x89 [H:\Books\AdvWinDebug\AdvancedWindowsDebugging\Awd\02Sample\02Sample.cpp @ 119] 
03 010ff46c 006b2de8     02Sample!KBTest::Fibonacci_stdcall+0x7b [H:\Books\AdvWinDebug\AdvancedWindowsDebugging\Awd\02Sample\02Sample.cpp @ 119] 
04 010ff544 006b3cea     02Sample!Stack+0x28 [H:\Books\AdvWinDebug\AdvancedWindowsDebugging\Awd\02Sample\02Sample.cpp @ 144] 
05 010ff648 006b406e     02Sample!AppInfo::Loop+0xea [H:\Books\AdvWinDebug\AdvancedWindowsDebugging\Awd\02Sample\menu.h @ 45] 
06 010ff72c 006b5173     02Sample!wmain+0x4e [H:\Books\AdvWinDebug\AdvancedWindowsDebugging\Awd\02Sample\02Sample.cpp @ 232] 
07 010ff74c 006b4fc7     02Sample!invoke_main+0x33 [D:\a\_work\1\s\src\vctools\crt\vcstartup\src\startup\exe_common.inl @ 90] 
08 010ff7a8 006b4e5d     02Sample!__scrt_common_main_seh+0x157 [D:\a\_work\1\s\src\vctools\crt\vcstartup\src\startup\exe_common.inl @ 288] 
09 010ff7b0 006b51f8     02Sample!__scrt_common_main+0xd [D:\a\_work\1\s\src\vctools\crt\vcstartup\src\startup\exe_common.inl @ 331] 
0a 010ff7b8 7687fcc9     02Sample!wmainCRTStartup+0x8 [D:\a\_work\1\s\src\vctools\crt\vcstartup\src\startup\exe_wmain.cpp @ 17] 
0b 010ff7c8 76ee7c6e     KERNEL32!BaseThreadInitThunk+0x19
0c 010ff824 76ee7c3e     ntdll!__RtlUserThreadStart+0x2f
0d 010ff834 00000000     ntdll!_RtlUserThreadStart+0x1b

显示每个函数的前3个参数

0:000> kb
 # ChildEBP RetAddr      Args to Child              
00 010ff1dc 006b3a3d     010ff390 00000001 00f6b000 KERNELBASE!wil::details::DebugBreak+0x2
01 010ff2b4 006b3a69     00000000 010ff46c 010ff54c 02Sample!KBTest::Fibonacci_stdcall+0x5d [H:\Books\AdvWinDebug\AdvancedWindowsDebugging\Awd\02Sample\02Sample.cpp @ 117] 
02 010ff390 006b3a5b     00000002 010ff544 010ff54c 02Sample!KBTest::Fibonacci_stdcall+0x89 [H:\Books\AdvWinDebug\AdvancedWindowsDebugging\Awd\02Sample\02Sample.cpp @ 119] 
00000002 参数值
03 010ff46c 006b2de8     00000003 010ff648 010ff54c 02Sample!KBTest::Fibonacci_stdcall+0x7b [H:\Books\AdvWinDebug\AdvancedWindowsDebugging\Awd\02Sample\02Sample.cpp @ 119] 
00000003 参数值
04 010ff544 006b3cea     010ff72c 006b1375 00f6b000 02Sample!Stack+0x28 [H:\Books\AdvWinDebug\AdvancedWindowsDebugging\Awd\02Sample\02Sample.cpp @ 144] 
05 010ff648 006b406e     006b1375 006b1375 00f6b000 02Sample!AppInfo::Loop+0xea [H:\Books\AdvWinDebug\AdvancedWindowsDebugging\Awd\02Sample\menu.h @ 45] 
06 010ff72c 006b5173     00000001 013af480 013bae50 02Sample!wmain+0x4e [H:\Books\AdvWinDebug\AdvancedWindowsDebugging\Awd\02Sample\02Sample.cpp @ 232] 
07 010ff74c 006b4fc7     ffd84942 006b1375 006b1375 02Sample!invoke_main+0x33 [D:\a\_work\1\s\src\vctools\crt\vcstartup\src\startup\exe_common.inl @ 90] 
08 010ff7a8 006b4e5d     010ff7b8 006b51f8 010ff7c8 02Sample!__scrt_common_main_seh+0x157 [D:\a\_work\1\s\src\vctools\crt\vcstartup\src\startup\exe_common.inl @ 288] 
09 010ff7b0 006b51f8     010ff7c8 7687fcc9 00f6b000 02Sample!__scrt_common_main+0xd [D:\a\_work\1\s\src\vctools\crt\vcstartup\src\startup\exe_common.inl @ 331] 
0a 010ff7b8 7687fcc9     00f6b000 7687fcb0 010ff824 02Sample!wmainCRTStartup+0x8 [D:\a\_work\1\s\src\vctools\crt\vcstartup\src\startup\exe_wmain.cpp @ 17] 
0b 010ff7c8 76ee7c6e     00f6b000 1e370f42 00000000 KERNEL32!BaseThreadInitThunk+0x19
0c 010ff824 76ee7c3e     ffffffff 76f08c09 00000000 ntdll!__RtlUserThreadStart+0x2f
0d 010ff834 00000000     006b1375 00f6b000 00000000 ntdll!_RtlUserThreadStart+0x1b

0:000> kp 5;*最后5个函数调用
 # ChildEBP RetAddr      
00 010ff1dc 006b3a3d     KERNELBASE!wil::details::DebugBreak+0x2
01 010ff2b4 006b3a69     02Sample!KBTest::Fibonacci_stdcall(unsigned int n = 0)+0x5d [H:\Books\AdvWinDebug\AdvancedWindowsDebugging\Awd\02Sample\02Sample.cpp @ 117] 
02 010ff390 006b3a5b     02Sample!KBTest::Fibonacci_stdcall(unsigned int n = 2)+0x89 [H:\Books\AdvWinDebug\AdvancedWindowsDebugging\Awd\02Sample\02Sample.cpp @ 119] 
03 010ff46c 006b2de8     02Sample!KBTest::Fibonacci_stdcall(unsigned int n = 3)+0x7b [H:\Books\AdvWinDebug\AdvancedWindowsDebugging\Awd\02Sample\02Sample.cpp @ 119] 
04 010ff544 006b3cea     02Sample!Stack(void)+0x28 [H:\Books\AdvWinDebug\AdvancedWindowsDebugging\Awd\02Sample\02Sample.cpp @ 144]

0:000> kP 5;*最后5个函数调用
 # ChildEBP RetAddr      
00 010ff1dc 006b3a3d     KERNELBASE!wil::details::DebugBreak+0x2
01 010ff2b4 006b3a69     02Sample!KBTest::Fibonacci_stdcall(
			unsigned int n = 0)+0x5d [H:\Books\AdvWinDebug\AdvancedWindowsDebugging\Awd\02Sample\02Sample.cpp @ 117] 
02 010ff390 006b3a5b     02Sample!KBTest::Fibonacci_stdcall(
			unsigned int n = 2)+0x89 [H:\Books\AdvWinDebug\AdvancedWindowsDebugging\Awd\02Sample\02Sample.cpp @ 119] 
03 010ff46c 006b2de8     02Sample!KBTest::Fibonacci_stdcall(
			unsigned int n = 3)+0x7b [H:\Books\AdvWinDebug\AdvancedWindowsDebugging\Awd\02Sample\02Sample.cpp @ 119] 
04 010ff544 006b3cea     02Sample!Stack(void)+0x28 [H:\Books\AdvWinDebug\AdvancedWindowsDebugging\Awd\02Sample\02Sample.cpp @ 144]

0:000> kf 5;*显示相邻帧之间的大小
 #   Memory  ChildEBP RetAddr      
00           010ff1dc 006b3a3d     KERNELBASE!wil::details::DebugBreak+0x2
01        d8 010ff2b4 006b3a69     02Sample!KBTest::Fibonacci_stdcall+0x5d [H:\Books\AdvWinDebug\AdvancedWindowsDebugging\Awd\02Sample\02Sample.cpp @ 117] 
02        dc 010ff390 006b3a5b     02Sample!KBTest::Fibonacci_stdcall+0x89 [H:\Books\AdvWinDebug\AdvancedWindowsDebugging\Awd\02Sample\02Sample.cpp @ 119] 
03        dc 010ff46c 006b2de8     02Sample!KBTest::Fibonacci_stdcall+0x7b [H:\Books\AdvWinDebug\AdvancedWindowsDebugging\Awd\02Sample\02Sample.cpp @ 119] 
04        d8 010ff544 006b3cea     02Sample!Stack+0x28 [H:\Books\AdvWinDebug\AdvancedWindowsDebugging\Awd\02Sample\02Sample.cpp @ 144]

Setting a Code Breakpoint在代码中设置断点

[~Thread] bp[ID] [Options] [Address [Passes]] [“CommandString”]
[~Thread] bu[ID] [Options] [Address [Passes]] [“CommandString”]
[~Thread] bm [Options] SymbolPattern [Passes] [“CommandString”]
Set Breakpoint设置断点
0号线程上的Fibonacci_stdcall 函数上设置断点，命令后执行 resp命令

0:004> ~0 bp 02Sample!KBTest::Fibonacci_stdcall "resp"
breakpoint 0 redefined
0:004> bl
     0 e Disable Clear  000639e0     0001 (0001)  0:~000 02Sample!KBTest::Fibonacci_stdcall "resp"
0:004> g
esp=010ffb3c
eax=000720f8 ebx=00f66000 ecx=000720f8 edx=00000001 esi=010ffc18 edi=010ffc10
eip=000639e0 esp=010ffb3c ebp=010ffc10 iopl=0         nv up ei pl zr na pe nc
cs=0023  ss=002b  ds=002b  es=002b  fs=0053  gs=002b             efl=00000246
02Sample!KBTest::Fibonacci_stdcall:
000639e0 55              push    ebp
0:000> .lastevent
Last event: 52bc.5668: Hit breakpoint 0
  debugger time: Sat Jan 13 21:45:45.672 2024 (UTC + 8:00)

在Fibonacci_stdcall函数上设置断点，命中后执行 resp和g命令

0:000> bp 02Sample!KBTest::Fibonacci_stdcall "resp;g;"
breakpoint 0 redefined
0:000> g
esp=010ff6d4
esp=010ff5f8
esp=010ff51c
esp=010ff51c
(5a24.4de8): Break instruction exception - code 80000003 (first chance)
eax=00000001 ebx=00fdb000 ecx=009f20f8 edx=00000001 esi=010ff448 edi=010ff518
eip=76553ce2 esp=010ff444 ebp=010ff518 iopl=0         nv up ei pl nz na po nc
cs=0023  ss=002b  ds=002b  es=002b  fs=0053  gs=002b             efl=00000202
KERNELBASE!wil::details::DebugBreak+0x2:
76553ce2 cc              int     3

在函数包含fibona的函数上设置断点

0:000> bm 02sample!*Fibona*
  0: 009e3770          @!"02Sample!KBTest::Fibonacci_cdecl"
  1: 009e39e0          @!"02Sample!KBTest::Fibonacci_stdcall"
  2: 009e3910          @!"02Sample!KBTest::Fibonacci_fpo"
  3: 009e3840          @!"02Sample!KBTest::Fibonacci_fastcall"
  4: 009e3ab0          @!"02Sample!KBTest::Fibonacci_thiscall"

bp是针对地址下断点(修改代码后，地址若变换，断点会失效)(新版windbg，地址失败后，会找对应的符号?)
bu是针对符号下断点(修改代码后，地址变换后仍有效)
bm也是针对符号，可支持匹配表达式

What Are the Variable Values?变量的值是什么

dv [Flags] [Pattern] Display Local Variables显示局部变量

    unsigned int Fibonacci_thiscall(unsigned int n)
    {
        m_lastN = n;
        int localN = n + gGlobal.m_ref;
        switch (n)
        {
        case 0: STOP_ON_DEBUGGER; return 0;
        case 1: return 1;
        default:
        {
            return Fibonacci_thiscall(localN - 2) + Fibonacci_thiscall(localN - 3);
        }
        }
    }

0:000> g
Breakpoint 4 hit
eax=010ff78c ebx=00fdb000 ecx=010ff78c edx=00000001 esi=010ff7b0 edi=010ff79c
eip=009e3ab0 esp=010ff6b0 ebp=010ff7a8 iopl=0         nv up ei pl zr na pe nc
cs=0023  ss=002b  ds=002b  es=002b  fs=0053  gs=002b             efl=00000246
02Sample!KBTest::Fibonacci_thiscall:
009e3ab0 55              push    ebp

dv显示变量

0:000> dv
           this = 0xcccccccc
              n = 3
         localN = 0n17823436

dv /i 显示变量类型

0:000> dv /i
prv local             this = 0xcccccccc
prv param                n = 3
prv local           localN = 0n13629092

dv /t 显示变量数据类型

0:000> dv /t
class KBTest * this = 0xcccccccc
unsigned int n = 3
int localN = 0n13629092

dv /V|/v 显示相应变量的地址

0:000> dv /V this
00cff67c          <virtual frame cff684>-0x0008                  this = 0xcccccccc
0:000> dv /v this
00cff67c                     this = 0xcccccccc

当变量是复杂类型时(如结构体或类等)，dv命令只显示地址，此时需要用到dt命令
dt [-DisplayOpts] [-SearchOpts] [module!]Name [[-SearchOpts] Field] [Address] [-l List]
dt [-DisplayOpts] Address [-l List]
dt -h
Display Type显示类型

0:000> dt this
Local var @ 0x4ff69c Type KBTest*
0xcccccccc 
   +0x000 __VFN_table : ???? 
   +0x004 m_lastN          : ??
Memory read error ccccccd0
0:000> dt KBTest 0x4ff69c
02Sample!KBTest
   +0x000 __VFN_table : 0xcccccccc 
   +0x004 m_lastN          : 0n5240708

以上的值是错误的。

0:000> dt 02Sample!gGlobal
gGlobal
   +0x000 m_ref            : 0n3

如果你正在查看一个堆块，那么很有可能在堆块的起始位置上发现一个虚表(v-table)，这表示在这个地址上是（或者曾经是)一个C++对象。

0:000> dc @ecx l4
004ff784  0098bc70 ffffffff cccccccc 92596447  p...........GdY.
0:000> ln 0098bc70
Browse module
Set bu breakpoint

(0098bc70)   02Sample!KBTest::`vftable'   |  (0098bc78)   02Sample!`string'
Exact matches:
    02Sample!KBTest::`vftable' = <function> *[2]
0:000> dt KBTest @ecx
02Sample!KBTest
   +0x000 __VFN_table : 0x0098bc70 
   +0x004 m_lastN          : 0n-1

以上内容还需要细读原文

How Do You Inspect Memory?如果查看内存

d[type] [AddressRange] Display Memory显示内存

命令	说明
da	ASCII字符
db	字节(Byte)和ASCII字符
dc	双字值(Double-word values,4 bytes)和ASCII字符
dd	双字值(Double-word values,4 bytes)
dD	双精度浮点数(Double-precision floating-point numbers,8 bytes)
df	单精度浮点数(Single-precision floating-point numbers,4 bytes
dp	指针大小值(Pointer-sized values),相当于dd或dq
dq	四字值(Quad-word values(8bytes)
du	Unicode字符
dw	word值(2 bytes)
dW	word值(2 bytes)和 ASCII字符
dyb	二进制值和字节值
dyd	二进制什和双字值(4 bytes)

设置启动参数运行02Sample.exe

在程序入口下断点

0:000> bp 02Sample!wmain
0:000> dv /V argv;*参数argv的地址
00b9f710          <virtual frame b9f704>+0x000c                  argv = 0x00f0f3d8
0:000> dpu 0x00f0f3d8 L4
00f0f3d8  00f0f3ec "H:\Books\AdvWinDebug\AdvancedWindowsDebugging\Awd\Debug"
00f0f3dc  00f0f476 "1"
00f0f3e0  00f0f47a "2"
00f0f3e4  00f0f47e "3"

dds [Options] [Range]
dqs [Options] [Range]
dps [Options] [Range]
Display Words and Symbols显示文字和符号

0:000> dps ebp L4
00cff8d0  00cff92c
00cff8d4  006c4fc7 02Sample!__scrt_common_main_seh+0x157 [D:\a\_work\1\s\src\vctools\crt\vcstartup\src\startup\exe_common.inl @ 288]
00cff8d8  19e09d69
00cff8dc  006c1375 02Sample!ILT+880(_wmainCRTStartup)

ddp [Options] [Range]
dqp [Options] [Range]
dpp [Options] [Range]
dda [Options] [Range]
dqa [Options] [Range]
dpa [Options] [Range]
ddu [Options] [Range]
dqu [Options] [Range]
dpu [Options] [Range]
Display Referenced Memory显示引用内存

0:000> dv /V argv
00cff8bc          <virtual frame cff8b0>+0x000c                  argv = 0x00e9f3d8
0:000> dpu 0x00e9f3d8 L4
00e9f3d8  00e9f3ec "H:\Books\AdvWinDebug\AdvancedWindowsDebugging\Awd\Debug"
00e9f3dc  00e9f476 "1"
00e9f3e0  00e9f47a "2"
00e9f3e4  00e9f47e "3"

s [-[[Flags]Type]] Range Pattern
s -[[Flags]]v Range Object
s -[[Flags]]sa Range
s -[[Flags]]su Range
Search Memory搜索内存
内存前256MB中搜索异常码 C0000005

0:000> s -d 0 L10000000/4 C0000005
0096d9c0  c0000005 ffffffff 771f11bb 00000000  ...........w....
0096da80  c0000005 00000000 00000000 006c2d91  .............-l.
0096e0f8  c0000005 00000000 0000000f 00000000  ................
0096e110  c0000005 00000000 00000000 006c2d91  .............-l.
0096e9c0  c0000005 00000000 00000000 00000000  ................
00cfef04  c0000005 7aaa26d8 00cfefac 006b0000  .....&.z......k.
00cff0c0  c0000005 00000000 00000000 006c2d91  .............-l.
00cff330  c0000005 00000000 00000000 00000000  ................
00cff8fc  c0000005 00000000 00000000 006d0a4c  ............L.m.
00cff968  c0000005 00000000 754b27b0 6da95995  .........'Ku.Y.m

Setting a Breakpoint on Access设置内存访问断点

[~Thread] ba[ID] Access Size [Options] [Address [Passes]] [“CommandString”] Break on Access访问断点
其中Options:对应
e(execute) 执行时命中
r(read/write) 读写时命中
w(write) 写时命中
i(i/o) 内核模式时才可用

0:000>ba w4 gGlobal+0

What Does That Memory Location Contain?在内存位置上包含了什么?

!address Address
!address -summary
!address [-f:F1,F2,…] {[-o:{csv | tsv | 1}] | [-c:“Command”]}
!address -? | -help
显示目标进程或计算机的内存信息

0:000> .lastevent
Last event: 4ab4.25d4: Hit breakpoint 1
  debugger time: Sun Jan 14 20:36:48.173 2024 (UTC + 8:00)
0:000> !address .

Usage:                  Image
Base Address:           006c1000
End Address:            006cb000
Region Size:            0000a000 (  40.000 kB)
State:                  00001000          MEM_COMMIT
Protect:                00000020          PAGE_EXECUTE_READ
Type:                   01000000          MEM_IMAGE
Allocation Base:        006b0000
Allocation Protect:     00000080          PAGE_EXECUTE_WRITECOPY
Image Path:             02Sample.exe
Module Name:            02Sample
Loaded Image Name:      H:\Books\AdvWinDebug\AdvancedWindowsDebugging\Awd\Debug\02Sample.exe
Mapped Image Name:      
More info:              lmv m 02Sample
More info:              !lmi 02Sample
More info:              ln 0x6c39e0
More info:              !dh 0x6b0000


Content source: 1 (target), length: 7620

Other Exploratory Commands其它分析命令

!peb [PEB-Address] 扩展显示进程环境块中信息的格式化图
Process environment block(PEB)

0:000> !peb
PEB at 01072000
    InheritedAddressSpace:    No
    ReadImageFileExecOptions: No
    BeingDebugged:            Yes
    ImageBaseAddress:         006b0000
    NtGlobalFlag:             470
    NtGlobalFlag2:            0
    Ldr                       77325d80
    Ldr.Initialized:          Yes
    Ldr.InInitializationOrderModuleList: 01358198 . 013597a8
    Ldr.InLoadOrderModuleList:           01358290 . 01359940
    Ldr.InMemoryOrderModuleList:         01358298 . 01359948
            Base TimeStamp                     Module
          6b0000 65a29553 Jan 13 21:51:15 2024 H:\Books\AdvWinDebug\AdvancedWindowsDebugging\Awd\Debug\02Sample.exe
        77200000 3ab9e7d5 Mar 22 19:53:57 2001 C:\WINDOWS\SYSTEM32\ntdll.dll
        75eb0000 C:\WINDOWS\System32\KERNEL32.DLL
        752d0000 640b6fb9 Mar 11 01:58:17 2023 C:\WINDOWS\System32\KERNELBASE.dll
        7aa70000 C:\WINDOWS\SYSTEM32\VCRUNTIME140D.dll
        7aa90000 61aac1a9 Dec 04 09:17:29 2021 C:\WINDOWS\SYSTEM32\ucrtbased.dll
    SubSystemData:     00000000
    ProcessHeap:       01350000
    ProcessParameters: 013542b0
    CurrentDirectory:  'C:\WINDOWS\system32\'
    WindowTitle:  'H:\Books\AdvWinDebug\AdvancedWindowsDebugging\Awd\Debug\02Sample.exe'
    ImageFile:    'H:\Books\AdvWinDebug\AdvancedWindowsDebugging\Awd\Debug\02Sample.exe'
    CommandLine:  'H:\Books\AdvWinDebug\AdvancedWindowsDebugging\Awd\Debug\02Sample.exe'
    DllPath:      '< Name not readable >'
    Environment:  01350b80
    ...

!peb [PEB-Address] 扩展显示线程环境块(thread environment block)中信息的格式化视图

0:000> !teb
TEB at 01075000
    ExceptionList:        012ffe68
    StackBase:            01300000
    StackLimit:           012fd000
    SubSystemTib:         00000000
    FiberData:            00001e00
    ArbitraryUserPointer: 00000000
    Self:                 01075000
    EnvironmentPointer:   00000000
    ClientId:             00004ab4 . 000025d4
    RpcHandle:            00000000
    Tls Storage:          01358c38
    PEB Address:          01072000
    LastErrorValue:       0
    LastStatusValue:      0
    Count Owned Locks:    0
    HardErrorMode:        0

!gle [-all] Get Last Error显示当前线程的最后一个错误值

2.2.12 Context-Changing Commands修改上下文的命令

Tracing Code Execution跟踪代码执行

[~Thread] t [r] [= StartAddress] [Count] [“Command”] Trace单步跟踪
只有当模块中包含私有符号时，才可以用源代码跟踪模式

0:000> l+t
Source options are 1:
     1/t - Step/trace by source line
0:000> l-t
Source options are 0:
    None

在当前线程中执行一条语句，而其他的线程将被挂起

0:000> ~.t

Stepping Over a Function Excetion逐过程

[~Thread] p[r] [= StartAddress] [Count] [“Command”] Step逐过程
跳过Fibonacci_stdcallKBTestSGIIZ函数

0:000> p
eax=00d320f8 ebx=0031c000 ecx=00d320f8 edx=00000001 esi=004ff854 edi=004ff84c
eip=00d22de3 esp=004ff77c ebp=004ff84c iopl=0         nv up ei pl zr na pe nc
cs=0023  ss=002b  ds=002b  es=002b  fs=0053  gs=002b             efl=00000246
02Sample!Stack+0x23:
00d22de3 e8b2e3ffff      call    02Sample!ILT+405(?Fibonacci_stdcallKBTestSGIIZ) (00d2119a)
0:000> p
eax=00000002 ebx=0031c000 ecx=00d320f8 edx=00000001 esi=004ff854 edi=004ff84c
eip=00d22de8 esp=004ff780 ebp=004ff84c iopl=0         nv up ei pl zr na pe nc
cs=0023  ss=002b  ds=002b  es=002b  fs=0053  gs=002b             efl=00000246
02Sample!Stack+0x28:
00d22de8 50              push    eax

[~Thread] pc [r] [= StartAddress] [Count] Step to Next Call逐过程到下一个Call

0:000> u 00d22dc1 L10
02Sample!Stack+0x1 [H:\Books\AdvWinDebug\AdvancedWindowsDebugging\Awd\02Sample\02Sample.cpp @ 143]:
00d22dc1 8bec            mov     ebp,esp
00d22dc3 81ecc0000000    sub     esp,0C0h
00d22dc9 53              push    ebx
00d22dca 56              push    esi
00d22dcb 57              push    edi
00d22dcc 8bfd            mov     edi,ebp
00d22dce 33c9            xor     ecx,ecx
00d22dd0 b8cccccccc      mov     eax,0CCCCCCCCh
00d22dd5 f3ab            rep stos dword ptr es:[edi]
00d22dd7 b9f820d300      mov     ecx,offset 02Sample!_NULL_IMPORT_DESCRIPTOR  (02Sample+0x220f8) (00d320f8)
00d22ddc e820e6ffff      call    02Sample!ILT+1020(__CheckForDebuggerJustMyCode (00d21401)
00d22de1 6a03            push    3
00d22de3 e8b2e3ffff      call    02Sample!ILT+405(?Fibonacci_stdcallKBTestSGIIZ) (00d2119a)
00d22de8 50              push    eax
00d22de9 6878bcd200      push    offset 02Sample!`string' (00d2bc78)
00d22dee e832e5ffff      call    02Sample!ILT+800(_wprintf) (00d21325)
0:000> pc
02Sample!Stack+0x1c:
00d22ddc e820e6ffff      call    02Sample!ILT+1020(__CheckForDebuggerJustMyCode (00d21401)
0:000> pc
02Sample!Stack+0x23:
00d22de3 e8b2e3ffff      call    02Sample!ILT+405(?Fibonacci_stdcallKBTestSGIIZ) (00d2119a)

Continuing Code Execution继续代码执行

[~Thread] g[a] [= StartAddress] [BreakAddress … [; BreakCommands]] Go继续
g address,执行到指定地址

0:000> u
02Sample!wmain [H:\Books\AdvWinDebug\AdvancedWindowsDebugging\Awd\02Sample\02Sample.cpp @ 229]:
00d23f50 55              push    ebp
00d23f51 8bec            mov     ebp,esp
00d23f53 81ecd0000000    sub     esp,0D0h
00d23f59 53              push    ebx
00d23f5a 56              push    esi
00d23f5b 57              push    edi
00d23f5c 8d7df0          lea     edi,[ebp-10h]
00d23f5f b904000000      mov     ecx,4
0:000> rm 0
0:000> g 00d23f5f
02Sample!wmain+0xf:
00d23f5f b904000000      mov     ecx,4

[~Thread] gu Go Up跳出当前函数

Tracing and Watching a Function Execution跟踪和观察一个函数的执行

wt [WatchOptions] [= StartAddress] [EndAddress] Trace and Watch Data跟踪和观察数据

0:000> wt -l1;*显示1级调用
Tracing 02Sample!Stack to return address 00d23c1a
   12     0 [  0] 02Sample!Stack
    1     0 [  1]   02Sample!ILT+1020(__CheckForDebuggerJustMyCode
   15     0 [  1]   02Sample!__CheckForDebuggerJustMyCode
   14    16 [  0] 02Sample!Stack
    1     0 [  1]   02Sample!ILT+405(?Fibonacci_stdcallKBTestSGIIZ)
   38     0 [  1]   02Sample!KBTest::Fibonacci_stdcall
>> No match on ret
   53     0 [  1]   02Sample!KBTest::Fibonacci_stdcall
   17    70 [  0] 02Sample!Stack
    1     0 [  1]   02Sample!ILT+800(_wprintf)
   48     0 [  1]   02Sample!wprintf
   24   119 [  0] 02Sample!Stack
    1     0 [  1]   02Sample!ILT+765(__RTC_CheckEsp)
    2     0 [  1]   02Sample!_RTC_CheckEsp
   27   122 [  0] 02Sample!Stack

149 instructions were executed in 148 events (0 from other threads)

Function Name                               Invocations MinInst MaxInst AvgInst
02Sample!ILT+1020(__CheckForDebuggerJustMyCode        1       1       1       1
02Sample!ILT+405(?Fibonacci_stdcallKBTestSGIIZ)       1       1       1       1
02Sample!ILT+765(__RTC_CheckEsp)                      1       1       1       1
02Sample!ILT+800(_wprintf)                            1       1       1       1
02Sample!KBTest::Fibonacci_stdcall                    1      53      53      53
02Sample!Stack                                        1      27      27      27
02Sample!_RTC_CheckEsp                                1       2       2       2
02Sample!__CheckForDebuggerJustMyCode                 1      15      15      15
02Sample!wprintf                                      1      48      48      48

0 system calls were executed

02Sample!AppInfo::Loop+0xea:
00d23c1a 3bf4            cmp     esi,esp

Changing the Context修改上下文

.cxr [Options] [Address] Display Context Record显示上下文记录

0:000> s -d 0 L10000000/4 0001003f
005dfd24  0001003f 00000000 00000000 00000000  ?...............
0094fd24  0001003f 00000000 00000000 00000000  ?...............
0098fd24  0001003f 00000000 00000000 00000000  ?...............
00aa76a0  0001003f 0001004d 00000000 00000400  ?...M...........
00aefd24  0001003f 00000000 00000000 00000000  ?...............
0104f548  0001003f 00000068 00000000 00000000  ?...h...........
0:000> .cxr 005dfd24
eax=00000000 ebx=00000000 ecx=00000000 edx=00000000 esi=008ff4f4 edi=00d313f2
eip=77052ddc esp=008ff470 ebp=008ff4d0 iopl=0         nv up ei pl nz ac po nc
cs=0023  ss=002b  ds=002b  es=002b  fs=0053  gs=002b             efl=00000212
ntdll!NtQueryVirtualMemory+0xc:
77052ddc c21800          ret     18h

~ Thread Thread Status线程状态
显示当前进程的所有线程状态

0:000> ~
.  0  Id: 2520.13d8 Suspend: 1 Teb: 007e2000 Unfrozen
   1  Id: 2520.323c Suspend: 1 Teb: 007e5000 Unfrozen
   2  Id: 2520.cac Suspend: 1 Teb: 007e8000 Unfrozen
   3  Id: 2520.f60 Suspend: 1 Teb: 007eb000 Unfrozen
0:000> ~*
.  0  Id: 2520.13d8 Suspend: 1 Teb: 007e2000 Unfrozen
      Start: 02Sample!ILT+880(_wmainCRTStartup) (00d31375)
      Priority: 0  Priority class: 32  Affinity: ff
   1  Id: 2520.323c Suspend: 1 Teb: 007e5000 Unfrozen
      Start: ntdll!TppWorkerThread (77015940)
      Priority: 0  Priority class: 32  Affinity: ff
   2  Id: 2520.cac Suspend: 1 Teb: 007e8000 Unfrozen
      Start: ntdll!TppWorkerThread (77015940)
      Priority: 0  Priority class: 32  Affinity: ff
   3  Id: 2520.f60 Suspend: 1 Teb: 007eb000 Unfrozen
      Start: ntdll!TppWorkerThread (77015940)
      Priority: 0  Priority class: 32  Affinity: ff

显示当前激活的进线

0:000> ~.
.  0  Id: 2520.13d8 Suspend: 1 Teb: 007e2000 Unfrozen
      Start: 02Sample!ILT+880(_wmainCRTStartup) (00d31375)
      Priority: 0  Priority class: 32  Affinity: ff

显示1号线程的状态

0:000> ~1
   1  Id: 2520.323c Suspend: 1 Teb: 007e5000 Unfrozen
      Start: ntdll!TppWorkerThread (77015940)
      Priority: 0  Priority class: 32  Affinity: ff

显示最初导致异常的线程（或者调试器附加到进程时处于活动状态的线程）

0:001> ~#
#  0  Id: 2520.13d8 Suspend: 1 Teb: 007e2000 Unfrozen
      Start: 02Sample!ILT+880(_wmainCRTStartup) (00d31375)
      Priority: 0  Priority class: 32  Affinity: ff

0:001> ~
#  0  Id: 2520.13d8 Suspend: 1 Teb: 007e2000 Unfrozen
.  1  Id: 2520.323c Suspend: 1 Teb: 007e5000 Unfrozen
   2  Id: 2520.cac Suspend: 1 Teb: 007e8000 Unfrozen
   3  Id: 2520.f60 Suspend: 1 Teb: 007eb000 Unfrozen

~Thread s
~ s
Set Current Thread设置/显示当前线程

0:001> ~ s
eax=00000000 ebx=00b59c60 ecx=00000000 edx=00000000 esi=00b59c60 edi=00b587b8
eip=770548fc esp=00e4fbcc ebp=00e4fd88 iopl=0         nv up ei pl nz na pe nc
cs=0023  ss=002b  ds=002b  es=002b  fs=0053  gs=002b             efl=00000206
ntdll!NtWaitForWorkViaWorkerFactory+0xc:
770548fc c21400          ret     14h
0:001> ~2 s
eax=00000000 ebx=00b59ec0 ecx=00000000 edx=00000000 esi=00b59ec0 edi=00b587b8
eip=770548fc esp=00f4fb28 ebp=00f4fce4 iopl=0         nv up ei pl nz na pe nc
cs=0023  ss=002b  ds=002b  es=002b  fs=0053  gs=002b             efl=00000206
ntdll!NtWaitForWorkViaWorkerFactory+0xc:
770548fc c21400          ret     14h
0:002> ~ s
eax=00000000 ebx=00b59ec0 ecx=00000000 edx=00000000 esi=00b59ec0 edi=00b587b8
eip=770548fc esp=00f4fb28 ebp=00f4fce4 iopl=0         nv up ei pl nz na pe nc
cs=0023  ss=002b  ds=002b  es=002b  fs=0053  gs=002b             efl=00000206
ntdll!NtWaitForWorkViaWorkerFactory+0xc:
770548fc c21400          ret     14h

.frame [/c] [/r] [FrameNumber]
.frame [/c] [/r] = BasePtr [FrameIncrement]
.frame [/c] [/r] = BasePtr StackPtr InstructionPtr
Set Local Context设置本地上下文

0:000> .frame /r
00 012ffcac 00d350a3     02Sample!wmain [H:\Books\AdvWinDebug\AdvancedWindowsDebugging\Awd\02Sample\02Sample.cpp @ 229] 
eax=015bf3c0 ebx=01107000 ecx=00000001 edx=015cae40 esi=00d31375 edi=00d31375
eip=00d33f50 esp=012ffcb0 ebp=012ffcac iopl=0         nv up ei pl nz na po nc
cs=0023  ss=002b  ds=002b  es=002b  fs=0053  gs=002b             efl=00000202
02Sample!wmain:
00d33f50 55              push    ebp
0:000> dv
           argc = 1
           argv = 0x015bf3c0
        appInfo = class AppInfo

当关上下文位于wMain,运行.frame 4后，dv显示变量位于02Sample!wmainCRTStartup+0x8

0:000> k
 # ChildEBP RetAddr      
00 012ffcac 00d350a3     02Sample!wmain [H:\Books\AdvWinDebug\AdvancedWindowsDebugging\Awd\02Sample\02Sample.cpp @ 229] 
01 012ffccc 00d34ef7     02Sample!invoke_main+0x33 [D:\a\_work\1\s\src\vctools\crt\vcstartup\src\startup\exe_common.inl @ 90] 
02 012ffd28 00d34d8d     02Sample!__scrt_common_main_seh+0x157 [D:\a\_work\1\s\src\vctools\crt\vcstartup\src\startup\exe_common.inl @ 288] 
03 012ffd30 00d35128     02Sample!__scrt_common_main+0xd [D:\a\_work\1\s\src\vctools\crt\vcstartup\src\startup\exe_common.inl @ 331] 
04 012ffd38 754efcc9     02Sample!wmainCRTStartup+0x8 [D:\a\_work\1\s\src\vctools\crt\vcstartup\src\startup\exe_wmain.cpp @ 17] 
05 012ffd48 77047c6e     KERNEL32!BaseThreadInitThunk+0x19
06 012ffda4 77047c3e     ntdll!__RtlUserThreadStart+0x2f
07 012ffdb4 00000000     ntdll!_RtlUserThreadStart+0x1b
0:000> .frame 4
04 012ffd38 754efcc9     02Sample!wmainCRTStartup+0x8 [D:\a\_work\1\s\src\vctools\crt\vcstartup\src\startup\exe_wmain.cpp @ 17] 
0:000> dv
       __formal = 0x01107000

Entering Value输入值

e{b|d|D|f|p|q|w} Address [Values]
e{a|u|za|zu} Address “String”
e Address [Values]
Enter Values输入值(修改内存值)
将变量n从3改为4

0:000> g
Breakpoint 3 hit
eax=00d420f8 ebx=01107000 ecx=00d420f8 edx=00000001 esi=012ffacc edi=012ffac4
eip=00d33970 esp=012ff9f0 ebp=012ffac4 iopl=0         nv up ei pl zr na pe nc
cs=0023  ss=002b  ds=002b  es=002b  fs=0053  gs=002b             efl=00000246
02Sample!KBTest::Fibonacci_stdcall:
00d33970 55              push    ebp
0:000> k
 # ChildEBP RetAddr      
00 012ff9ec 00d32de8     02Sample!KBTest::Fibonacci_stdcall [H:\Books\AdvWinDebug\AdvancedWindowsDebugging\Awd\02Sample\02Sample.cpp @ 114] 
01 012ffac4 00d33c1a     02Sample!Stack+0x28 [H:\Books\AdvWinDebug\AdvancedWindowsDebugging\Awd\02Sample\02Sample.cpp @ 144] 
02 012ffbc8 00d33f9e     02Sample!AppInfo::Loop+0xea [H:\Books\AdvWinDebug\AdvancedWindowsDebugging\Awd\02Sample\menu.h @ 45] 
03 012ffcac 00d350a3     02Sample!wmain+0x4e [H:\Books\AdvWinDebug\AdvancedWindowsDebugging\Awd\02Sample\02Sample.cpp @ 232] 
04 012ffccc 00d34ef7     02Sample!invoke_main+0x33 [D:\a\_work\1\s\src\vctools\crt\vcstartup\src\startup\exe_common.inl @ 90] 
05 012ffd28 00d34d8d     02Sample!__scrt_common_main_seh+0x157 [D:\a\_work\1\s\src\vctools\crt\vcstartup\src\startup\exe_common.inl @ 288] 
06 012ffd30 00d35128     02Sample!__scrt_common_main+0xd [D:\a\_work\1\s\src\vctools\crt\vcstartup\src\startup\exe_common.inl @ 331] 
07 012ffd38 754efcc9     02Sample!wmainCRTStartup+0x8 [D:\a\_work\1\s\src\vctools\crt\vcstartup\src\startup\exe_wmain.cpp @ 17] 
08 012ffd48 77047c6e     KERNEL32!BaseThreadInitThunk+0x19
09 012ffda4 77047c3e     ntdll!__RtlUserThreadStart+0x2f
0a 012ffdb4 00000000     ntdll!_RtlUserThreadStart+0x1b
0:000> dv
              n = 3
0:000> ed n 4
0:000> dv
              n = 4

修改内存指令为nop

eb .-6 90 90 90 90 90 90

2.2.13 Other Helper Commands其他辅助命令

!error Value [Flags] 查看错误代码的意义

0:000> !error 2
Error code: (NTSTATUS) 0x2 (2) - STATUS_WAIT_2
0:000> !error 5;*没有正确显示？？？
Error code: (Win32) 0x5 (5) - <Unable to get error code text>

!dreg [-d|-w] KeyPath[!Value]
!dreg
Display Registry Information显示注册表内容

0:000> !dreg Software\Microsoft\Windows NT\CurrentVersion\AeDebug!*
Value: "UserDebuggerHotKey" - REG_DWORD: 0 = 0x00000000
------------------------------------------------------------------------
Value: "Debugger" - REG_SZ: ""C:\WINDOWS\system32\vsjitdebugger.exe" -p %ld -e %ld -j 0x%p"
------------------------------------------------------------------------
Value: "Auto" - REG_SZ: "1"
------------------------------------------------------------------------

? Expression Evaluate Expression计算表达式

0:000> dv
              n = 1
0:000> ? poi(n)
Evaluate expression: 1 = 00000001

?? Expression Evaluate C++ Expression计算C++表达式

0:000> ? poi(n)
Evaluate expression: 1 = 00000001
0:000> ?? n
unsigned int 1

.formats expression Show Number Formats显示数字格式

0:000> .formats 0x8
Evaluate expression:
  Hex:     00000008
  Decimal: 8
  Decimal (unsigned) : 8
  Octal:   00000000010
  Binary:  00000000 00000000 00000000 00001000
  Chars:   ....
  Time:    Thu Jan  1 08:00:08 1970
  Float:   low 1.12104e-044 high 0
  Double:  3.95253e-323

.hh [Text] Open HTML Help File打开帮助文档

2.2.14 Examples示例

Conditional Breakpoints条件断点

0:000> bp 02Sample!KBTest::Fibonacci_stdcall ".if(eax!=1){g}"
breakpoint 0 redefined
0:000> g
eax=00000001 ebx=004d3000 ecx=00b420f8 edx=00000001 esi=006ff9c8 edi=006ff730
eip=00b376e0 esp=006ff658 ebp=006ff730 iopl=0         nv up ei pl nz na po nc
cs=0023  ss=002b  ds=002b  es=002b  fs=0053  gs=002b             efl=00000202
02Sample!KBTest::Fibonacci_stdcall:
00b376e0 55              push    ebp

kd> !process 0 0 cmd.exe
PROCESS
ffba1020 SessionId: 0 Cid: 01a4 Peb: 7ffd5000 ParentCid: 05d4
DirBase: 0567e000 ObjectTable: e17c2b60 HandleCount: 30.
Image: cmd.exe
kd> !object
ffba1020
Object: ffba1020 Type: (812ee900) Process
ObjectHeader: ffba1008
HandleCount: 1 PointerCount: 8
kd> dt nt!_OBJECT_HEADER ffba1008
+0x000 PointerCount : 8
+0x004 HandleCount : 1
...
kd> ba w4
ffba1008+8
kd> g
Breakpoint 2 hit
nt!ObpFreeObject+0x16c:
80563f66 5e pop esi
kd> k
ChildEBP RetAddr
fafb3cd0 80563ffe nt!ObpFreeObject+0x16c
fafb3ce8 804e3c55 nt!ObpRemoveObjectRoutine+0xe7
fafb3d0c 8057e5fb nt!ObfDereferenceObject+0x5f
fafb3d24 80563ff6 nt!PspThreadDelete+0xea
fafb3d40 804e3c55 nt!ObpRemoveObjectRoutine+0xdf
fafb3d64 804f9c5c nt!ObfDereferenceObject+0x5f
fafb3d74 804e47fe nt!PspReaper+0x4a
fafb3dac 8057dfed nt!ExpWorkerThread+0x100
109Remote Debugging
fafb3ddc 804fa477 nt!PspSystemThreadStartup+0x34
00000000 00000000 nt!KiThreadStartup+0x16
kd> dt nt!_OBJECT_HEADER
ffba1008
+0x000 PointerCount : 0
+0x004 HandleCount : 0
...

2.3 Remote Debugging 远程调试

Remote.exe
dbgsrv.exe
kdsrv.exe
后续再完善

你可能感兴趣的:(WinDbg学习笔记,WinDbg,笔记)

10月|愿你的青春不负梦想-读书笔记-01 Tracy的小书斋
本书的作者是俞敏洪，大家都很熟悉他了吧。俞敏洪老师是我行业的领头羊吧，也是我事业上的偶像。本日摘录他书中第一章中的金句：『一个人如果什么目标都没有，就会浑浑噩噩，感觉生命中缺少能量。能给我们能量的，是对未来的期待。第一件事，我始终为了进步而努力。与其追寻全世界的骏马，不如种植丰美的草原，到时骏马自然会来。第二件事，我始终有阶段性的目标。什么东西能给我能量？答案是对未来的期待。』读到这里的时候，我便
《投行人生》读书笔记小蘑菇的树洞
《投行人生》----作者詹姆斯-A-朗德摩根斯坦利副主席40年的职业洞见-很短小精悍的篇幅，比较适合初入职场的新人。第一部分成功的职业生涯需要规划1.情商归为适应能力分享与协作同理心适应能力，更多的是自我意识，你有能力识别自己的情并分辨这些情绪如何影响你的思想和行为。2.对于初入职场的人的建议，细节，截止日期和数据很重要截止日期，一种有效的方法是请老板为你所有的任务进行优先级排序。和老板喝咖啡的好
【一起学Rust | 设计模式】习惯语法——使用借用类型作为参数、格式化拼接字符串、构造函数广龙宇一起学Rust #Rust设计模式 rust 设计模式开发语言
提示：文章写完后，目录可以自动生成，如何生成可参考右边的帮助文档文章目录前言一、使用借用类型作为参数二、格式化拼接字符串三、使用构造函数总结前言Rust不是传统的面向对象编程语言，它的所有特性，使其独一无二。因此，学习特定于Rust的设计模式是必要的。本系列文章为作者学习《Rust设计模式》的学习笔记以及自己的见解。因此，本系列文章的结构也与此书的结构相同（后续可能会调成结构），基本上分为三个部分
git常用命令笔记咩酱-小羊 git 笔记
###用习惯了idea总是不记得git的一些常见命令，需要用到的时候总是担心旁边站了人~~~记个笔记@_@，告诉自己看笔记不丢人初始化初始化一个新的Git仓库gitinit配置配置用户信息gitconfig--globaluser.name"YourName"gitconfig--globaluser.email"[email protected]"基本操作克隆远程仓库gitclone查看
509. 斐波那契数(每日一题) lzyprime
lzyprime博客(github)创建时间：2021.01.04qq及邮箱：2383518170leetcode笔记题目描述斐波那契数，通常用F(n)表示，形成的序列称为斐波那契数列。该数列由0和1开始，后面的每一项数字都是前面两项数字的和。也就是：F(0)=0，F(1)=1F(n)=F(n-1)+F(n-2)，其中n>1给你n，请计算F(n)。示例1：输入：2输出：1解释：F(2)=F(1)+
拥有断舍离的心态，过精简生活--《断舍离》读书笔记爱吃丸子的小樱桃
不知不觉间房间里的东西越来越多，虽然摆放整齐，但也时常会觉得空间逼仄，令人心生烦闷。抱着断舍离的态度，我开始阅读《断舍离》这本书，希望从书中能找到一些有效的方法，帮助我实现空间、物品上的断舍离。《断舍离》是日本作家山下英子通过自己的经历、思考和实践总结而成的，整体内涵也从刚开始的私人生活哲学的“断舍离”升华成了“人生实践哲学”，接着又成为每个人都能实行的“改变人生的断舍离”，从“哲学”逐渐升华成“
四章-32-点要素的聚合彩云飘过
本文基于腾讯课堂老胡的课《跟我学Openlayers--基础实例详解》做的学习笔记，使用的openlayers5.3.xapi。源码见1032.html，对应的官网示例https://openlayers.org/en/latest/examples/cluster.htmlhttps://openlayers.org/en/latest/examples/earthquake-clusters.
高端密码学院笔记285 柚子_b4b4
高端幸福密码学院（高级班）幸福使者：李华第（598）期《幸福》之回归内在深层生命原动力基础篇——揭秘“激励”成长的喜悦心理案例分析主讲：刘莉一，知识扩充:成功=艰苦劳动+正确方法+少说空话。贪图省力的船夫，目标永远下游。智者的梦再美，也不如愚人实干的脚印。幸福早课堂2020.10.16星期五一笔记:1，重视和珍惜的前提是知道它的价值非常重要，当你珍惜了，你就真正定下来，真正的学到身上。2，大家需要
Day17笔记-高阶函数 ~在杰难逃~ Python 笔记 python 开发语言 pycharm 数据分析
高阶函数【重点掌握】函数的本质：函数是一个变量，函数名是一个变量名，一个函数可以作为另一个函数的参数或返回值使用如果A函数作为B函数的参数，B函数调用完成之后，会得到一个结果，则B函数被称为高阶函数常用的高阶函数：map(),reduce(),filter(),sorted()1.map()map(func,iterable)，返回值是一个iterator【容器，迭代器】func:函数iterab
Day1笔记-Python简介&标识符和关键字&输入输出 ~在杰难逃~ Python python 开发语言大数据数据分析数据挖掘
大家好，从今天开始呢，杰哥开展一个新的专栏，当然，数据分析部分也会不定时更新的，这个新的专栏主要是讲解一些Python的基础语法和知识，帮助0基础的小伙伴入门和学习Python，感兴趣的小伙伴可以开始认真学习啦！一、Python简介【了解】1.计算机工作原理编程语言就是用来定义计算机程序的形式语言。我们通过编程语言来编写程序代码，再通过语言处理程序执行向计算机发送指令，让计算机完成对应的工作，编程
node.js学习小猿L node.js node.js 学习 vim
node.js学习实操及笔记温故node.js，node.js学习实操过程及笔记~node.js学习视频node.js官网node.js中文网实操笔记githubcsdn笔记为什么学node.js可以让别人访问我们编写的网页为后续的框架学习打下基础，三大框架vuereactangular离不开node.jsnode.js是什么官网：node.js是一个开源的、跨平台的运行JavaScript的运行
数据仓库——维度表一致性墨染丶eye 背诵数据仓库
数据仓库基础笔记思维导图已经整理完毕，完整连接为：数据仓库基础知识笔记思维导图维度一致性问题从逻辑层面来看，当一系列星型模型共享一组公共维度时，所涉及的维度称为一致性维度。当维度表存在不一致时，短期的成功难以弥补长期的错误。维度时确保不同过程中信息集成起来实现横向钻取货活动的关键。造成横向钻取失败的原因维度结构的差别，因为维度的差别，分析工作涉及的领域从简单到复杂，但是都是通过复杂的报表来弥补设计
【Git】常见命令(仅笔记) 好想有猫猫 Git Linux学习笔记 git 笔记 elasticsearch linux c++
文章目录创建/初始化本地仓库添加本地仓库配置项提交文件查看仓库状态回退仓库查看日志分支删除文件暂存工作区代码远程仓库使用`.gitigore`文件让git不追踪一些文件标签创建/初始化本地仓库gitinit添加本地仓库配置项gitconfig-l#以列表形式显示配置项gitconfiguser.name"ljh"#配置user.namegitconfiguser.email"[email protected]
为什么你总是对下属不满意? ZhaoWu1050
【ZhaoWu的听课笔记】大多数公司，都存在两种问题。我创业四年，更是体会深切。这两种问题就是：老板经常不满意下属的表现；下属总是不知道老板想要什么；虽然这两种问题普遍存在，其实解决方法并不复杂。这节课，我们再聊聊第一个问题：为什么老板经常不满意下属表现?其实，这背后也是一条管理常识。管理学家德鲁克先生早就说过：管理者的任务，不是去改变人。*来自《卓有成效的管理者》只是大多数老板和我一样，都是一边
母亲节如何做小红书营销美橙传媒
小红书的一举一动引起了外界的高度关注。通过爆款笔记和流行话题，我们可以看到“干货”类型的内容在小红书中偏向实用的生活经验共享和生活指南非常受欢迎。根据运营社的分析，这种现象是由小红书用户心智和内容社区背后机制共同决定的。首先，小红书将使用“强搜索”逻辑为用户提供特定的“搜索场景”。在“我必须这样生活”中，大量使用了满足小红书站用户喜好和需求的内容。内容社区自制的高质量内容也吸引了寻找营销新途径的品
读书笔记|《遇见孩子，遇见更好的自己》5 抹茶社长
为人父母意味着放弃自己的过去，不要对以往没有实现的心愿耿耿于怀，只有这样，孩子们才能做回自己。985909803.jpg孩子在与父母保持亲密的同时更需要独立，唯有这样，孩子才会成为孩子，父母才会成其为父母。有耐心的人生往往更幸福，给孩子留点余地。认识到养儿育女是对耐心的考验。为失败做好心理准备，教会孩子控制情绪。了解自己的底线，说到底线，有一点很重要，父母之所以发脾气，真正的原因往往在于他们自己，
基于Python给出的PDF文档转Markdown文档的方法程序媛了了 python pdf 开发语言
注：网上有很多将Markdown文档转为PDF文档的方法，但是却很少有将PDF文档转为Markdown文档的方法。就算有，比如某些网站声称可以将PDF文档转为Markdown文档，尝试过，不太符合自己的要求，而且无法保证文档没有泄露风险。于是本人为了解决这个问题，借助GPT（能使用GPT镜像或者有条件直接使用GPT的，反正能调用GPT接口就行）生成Python代码来完成这个功能。笔记、代码难免存在
语文主题教学学习笔记之87 东哥杂谈
“语文主题教学”学习笔记之八十七（0125）今天继续学习小学语文主题教学的实践样态。板块三：教学中体现“书艺”味道。作为四大名著之一的《水浒传》，堪称我国文学宝库之经典。对从《水浒传》中摘选的单元，教师就要了解其原生态，即评书体特点。这也要求教师要了解一些常用的评书行话术语，然后在教学时适时地加入一些，让学生体味其文本中原有的特色。学生也要尽可能地通过朗读的方式，而不单是分析讲解的方式进行学习。细
Armv8.3 体系结构扩展--原文版代码改变世界ctw ARM-TEE-Android armv8 嵌入式 arm架构安全架构芯片 Trustzone Secureboot
快速链接:.ARMv8/ARMv9架构入门到精通-[目录]付费专栏-付费课程【购买须知】:个人博客笔记导读目录(全部)TheArmv8.3architectureextensionTheArmv8.3architectureextensionisanextensiontoArmv8.2.Itaddsmandatoryandoptionalarchitecturalfeatures.Somefeat
springboot+vue项目实战一-创建SpringBoot简单项目苹果酱0567 面试题汇总与解析 spring boot 后端 java 中间件开发语言
这段时间抽空给女朋友搭建一个个人博客，想着记录一下建站的过程，就当做笔记吧。虽然复制zjblog只要一个小时就可以搞定一个网站，或者用cms系统，三四个小时就可以做出一个前后台都有的网站，而且想做成啥样也都行。但是就是要从新做，自己做的意义不一样，更何况，俺就是专门干这个的，嘿嘿嘿要做一个网站，而且从零开始，首先呢就是技术选型了，经过一番思量决定选择-SpringBoot做后端，前端使用Vue做一
阅读《认知觉醒》读书笔记就看看书
本周阅读了周岭的《认知觉醒开启自我改变的原动力》，启发较多，故做读书笔记一则，留待学习。全书共八章，讲述了大脑、潜意识、元认知、专注力、学习力、行动力、情绪力及成本最低的成长之道。具体描述了大脑、焦虑、耐心、模糊、感性、元认知、自控力、专注力、情绪专注、学习专注、匹配、深度、关联、体系、打卡、反馈、休息、清晰、傻瓜、行动、心智宽带、单一视角、游戏心态、早起、冥想、阅读、写作、运动等相关知识点。大脑
阅读笔记：阅读方法中的逻辑和转念施吉涛
聊聊一些阅读的方法论吧，别人家的读书方法刚开始想写，然后就不知道写什么了，因为作者写的非常的“精致”我有一种乡巴佬进城的感觉，看到精美的摆盘，精致的食材不知道该如何下口也就是《阅读的方法》，我们姑且来试一下强劲的大脑篇，第一节：逻辑通俗的来讲，也就是表达的排列和顺序，再进一步就是因果关系和关联实际上书已经看了大概一遍，但直到打算写一下笔记的时候，才发现作者讲的推理更多的是阅读的对象中呈现出的逻辑也
《转介绍方法论》学习笔记小可乐的妈妈
一、高效转介绍的流程：价值观---执行----方案一）转介绍发生的背景：1、对象：谁向谁转介绍？全员营销，人人参与。①员工的激励政策、客户的转介绍诱因制作客户画像：a信任；支付能力；意愿度；便利度（根据家长具备四个特征的个数分为四类）B性格分类C职业分类D年龄性别②执行：套路，策略，方法，流程2、诱因：为什么要转介绍？认同信任；多方共赢；传递美好；零风险承诺打动人心，超越期待。选择做教育，就是选择
JAVA学习笔记之23种设计模式学习 victorfreedom Java技术设计模式 android java 常用设计模式
博主最近买了《设计模式》这本书来学习，无奈这本书是以C++语言为基础进行说明，整个学习流程下来效率不是很高，虽然有的设计模式通俗易懂，但感觉还是没有充分的掌握了所有的设计模式。于是博主百度了一番，发现有大神写过了这方面的问题，于是博主迅速拿来学习。一、设计模式的分类总体来说设计模式分为三大类：创建型模式，共五种：工厂方法模式、抽象工厂模式、单例模式、建造者模式、原型模式。结构型模式，共七种：适配器
解决Obsidian写笔记中的＜img＞标签无法显示图片的问题全能全知者笔记
Obsidian中写md笔记如果使用标签会显示不出图案，后来才知道因为Obsidian的问题导致只能用绝对路径定位。所以我本人写了一个py插件，将md笔记里的img标签批量替换成Obsidian能够读取的形式。安装FixObsImgDpy:pipinstallFixObsImgDpy安装完成后在需要修复的md文件的父目录下运行命令:FixObsImgDpy就会自动修复父目录以下的全部md文件仓库
2021年周总结 03 Ruby之家
这周的生活过得也是比较快，因为暂时住的离公司有点距离，所以通勤时间相对较长一点，而在地铁上的一个半小时如何充分利用起来，则是我最近一直在思考的问题，2021年想让自己的生活都运行在计划中。(有时候自己想干一件事情就总是给自己找很多借口，想着以后怎么怎么样？然而哪有那么多的以后，能够方便当下的工作生活就立马执行就OK，这仅仅只是我此时想到背的很重的老人机笔记本电脑，也算是陪伴我快8年的—当时买的时候
2021-12-11 人生导演
今天读到佛学书籍的一段话：初学者很难直接体验到无我，但可以经常提醒自己：一切事物都是无我的。不断强化这个观念，也会相当有帮助。比如生病了我们一般会说：“我不舒服！我很痛！我很惨！”这时候如果我们提醒自己：没有我，只是这个肉体的某些部分、某些功能出了问题，不舒服、疼痛也只是一时的感受，而感受随时在变化。仅仅是知道没有一个实存的我在生病、在受苦。然后把“一切事物都是无我的”这句话，记到笔记上，并且朗读
新能源汽车 BMS 学习笔记篇—BMS 基本定义及分类 WPG大大通其他笔记汽车 BMS 经验分享新能源电池
一、BMS定义1、概念：BMS（BatteryManagementSystem）即电池管理系统，其管理对象是二次电池（充电电池或蓄电池），其主要目的是电池的利用率，防止电池出现过度充电和过度放电，可应用于电动汽车、电瓶车、机器人、无人机等图片来源：腾讯网https://new.qq.com《标准普尔警告，电动汽车电池生产面临供应链和地缘政治风险》2、四大功能①感知和测量：检测电池的电压、电流、温度
机器学习-聚类算法不良人龍木木机器学习机器学习算法聚类
机器学习-聚类算法1.AHC2.K-means3.SC4.MCL仅个人笔记，感谢点赞关注！1.AHC2.K-means3.SC传统谱聚类：个人对谱聚类算法的理解以及改进4.MCL目前仅专注于NLP的技术学习和分享感谢大家的关注与支持！
LeetCode github集合，附CMU大神整理笔记 Wesley@ LeetCode github
GithubLeetCode集合本人所有做过的题目都写在一个java项目中，同步到github中了，算是见证自己的进步。github目前同步的题目是2020-09-17日之后写的题。之前写过的题会陆续跟新到github中。目前大概400个题目Github项目链接：https://github.com/sunliancheng/leetcode_github附上一份优秀的教材整合：这是卡内基梅隆(C
web前段跨域nginx代理配置刘正强 nginx cms Web
nginx代理配置可参考server部分 server { listen 80; server_name localhost;
spring学习笔记 caoyong spring
一、概述 a>、核心技术 : IOC与AOP b>、开发为什么需要面向接口而不是实现接口降低一个组件与整个系统的藕合程度，当该组件不满足系统需求时，可以很容易的将该组件从系统中替换掉，而不会对整个系统产生大的影响 c>、面向接口编口编程的难点在于如何对接口进行初始化,(使用工厂设计模式)
Eclipse打开workspace提示工作空间不可用 0624chenhong eclipse
做项目的时候，难免会用到整个团队的代码，或者上一任同事创建的workspace， 1.电脑切换账号后，Eclipse打开时，会提示Eclipse对应的目录锁定，无法访问，根据提示，找到对应目录，G:\eclipse\configuration\org.eclipse.osgi\.manager，其中文件.fileTableLock提示被锁定。解决办法，删掉.fileTableLock文件，重
Javascript 面向对面写法的必要性？一炮送你回车库 JavaScript
现在Javascript面向对象的方式来写页面很流行，什么纯javascript的mvc框架都出来了：ember 这是javascript层的mvc框架哦,不是j2ee的mvc框架我想说的是，javascript本来就不是一门面向对象的语言，用它写出来的面向对象的程序，本身就有些别扭，很多人提到js的面向对象首先提的是：复用性。那么我请问你写的js里有多少是可以复用的，用fu
js array对象的迭代方法换个号韩国红果果 array
1.forEach 该方法接受一个函数作为参数，对数组中的每个元素使用该函数 return 语句失效 function square(num) { print(num, num * num); } var nums = [1,2,3,4,5,6,7,8,9,10]; nums.forEach(square); 2.every 该方法接受一个返回值为布尔类型
对Hibernate缓存机制的理解归来朝歌 session 一级缓存对象持久化
在hibernate中session一级缓存机制中，有这么一种情况：问题描述：我需要new一个对象，对它的几个字段赋值，但是有一些属性并没有进行赋值，然后调用 session.save()方法，在提交事务后，会出现这样的情况： 1：在数据库中有默认属性的字段的值为空 2：既然是持久化对象，为什么在最后对象拿不到默认属性的值？通过调试后解决方案如下：对于问题一，如你在数据库里设置了
WebService调用错误合集 darkranger webservice
Java.Lang.NoClassDefFoundError: Org/Apache/Commons/Discovery/Tools/DiscoverSingleton 调用接口出错，一个简单的WebService import org.apache.axis.client.Call;import org.apache.axis.client.Service; 首先必不可
JSP和Servlet的中文乱码处理 aijuans Java Web
JSP和Servlet的中文乱码处理前几天学习了JSP和Servlet中有关中文乱码的一些问题，写成了博客，今天进行更新一下。应该是可以解决日常的乱码问题了。现在作以下总结希望对需要的人有所帮助。我也是刚学，所以有不足之处希望谅解。一、表单提交时出现乱码：在进行表单提交的时候，经常提交一些中文，自然就避免不了出现中文乱码的情况，对于表单来说有两种提交方式：get和post提交方式。所以
面试经典六问 atongyeye 工作面试
题记：因为我不善沟通，所以在面试中经常碰壁，看了网上太多面试宝典，基本上不太靠谱。只好自己总结，并试着根据最近工作情况完成个人答案。以备不时之需。以下是人事了解应聘者情况的最典型的六个问题： 1 简单自我介绍关于这个问题，主要为了弄清两件事，一是了解应聘者的背景，二是应聘者将这些背景信息组织成合适语言的能力。我的回答：(针对技术面试回答，如果是人事面试，可以就掌
contentResolver.query()参数详解百合不是茶 android query()详解
收藏csdn的博客,介绍的比较详细,新手值得一看 1.获取联系人姓名一个简单的例子，这个函数获取设备上所有的联系人ID和联系人NAME。 [java] view plain copy public void fetchAllContacts() {
ora-00054:resource busy and acquire with nowait specified解决方法 bijian1013 oracle 数据库 kill nowait
当某个数据库用户在数据库中插入、更新、删除一个表的数据，或者增加一个表的主键时或者表的索引时，常常会出现ora-00054:resource busy and acquire with nowait specified这样的错误。主要是因为有事务正在执行（或者事务已经被锁），所有导致执行不成功。 1.下面的语句
web 开发乱码征客丶 spring Web
以下前端都是 utf-8 字符集编码一、后台接收 1.1、 get 请求乱码 get 请求中，请求参数在请求头中；乱码解决方法： a、通过在web 服务器中配置编码格式：tomcat 中，在 Connector 中添加URIEncoding="UTF-8"； 1.2、post 请求乱码 post 请求中，请求参数分两部份， 1.2.1、url？参数，
【Spark十六】： Spark SQL第二部分数据源和注册表的几种方式 bit1129 spark
Spark SQL数据源和表的Schema case class apply schema parquet json JSON数据源准备源数据 {"name":"Jack", "age": 12, "addr":{"city":"beijing&
JVM学习之:调优总结 -Xms -Xmx -Xmn -Xss BlueSkator -Xss -Xmn -Xms -Xmx
堆大小设置JVM 中最大堆大小有三方面限制：相关操作系统的数据模型（32-bt还是64-bit）限制；系统的可用虚拟内存限制；系统的可用物理内存限制。32位系统下，一般限制在1.5G~2G；64为操作系统对内存无限制。我在Windows Server 2003 系统，3.5G物理内存，JDK5.0下测试，最大可设置为1478m。典型设置： java -Xmx355
jqGrid 各种参数详解(转帖) BreakingBad jqGrid
jqGrid 各种参数详解分类：源代码分享个人随笔请勿参考解决开发问题 2012-05-09 20:29 84282人阅读评论(22) 收藏举报 jquery 服务器 parameters function ajax string
读《研磨设计模式》-代码笔记-代理模式-Proxy bylijinnan java 设计模式
声明：本文只为方便我个人查阅和理解，详细的分析以及源代码请移步原作者的博客http://chjavach.iteye.com/ import java.lang.reflect.InvocationHandler; import java.lang.reflect.Method; import java.lang.reflect.Proxy; /* * 下面
应用升级iOS8中遇到的一些问题 chenhbc ios8 升级iOS8
1、很奇怪的问题，登录界面，有一个判断，如果不存在某个值，则跳转到设置界面，ios8之前的系统都可以正常跳转，iOS8中代码已经执行到下一个界面了，但界面并没有跳转过去，而且这个值如果设置过的话，也是可以正常跳转过去的，这个问题纠结了两天多，之前的判断我是在 -(void)viewWillAppear:(BOOL)animated 中写的，最终的解决办法是把判断写在 -(void
工作流与自组织的关系？ comsci 设计模式工作
目前的工作流系统中的节点及其相互之间的连接是事先根据管理的实际需要而绘制好的，这种固定的模式在实际的运用中会受到很多限制，特别是节点之间的依存关系是固定的，节点的处理不考虑到流程整体的运行情况，细节和整体间的关系是脱节的，那么我们提出一个新的观点，一个流程是否可以通过节点的自组织运动来自动生成呢？这种流程有什么实际意义呢？这里有篇论文，摘要是：“针对网格中的服务
Oracle11.2新特性之INSERT提示IGNORE_ROW_ON_DUPKEY_INDEX daizj oracle
insert提示IGNORE_ROW_ON_DUPKEY_INDEX 转自：http://space.itpub.net/18922393/viewspace-752123 在 insert into tablea ...select * from tableb中，如果存在唯一约束，会导致整个insert操作失败。使用IGNORE_ROW_ON_DUPKEY_INDEX提示，会忽略唯一
二叉树:堆 dieslrae 二叉树
这里说的堆其实是一个完全二叉树,每个节点都不小于自己的子节点,不要跟jvm的堆搞混了.由于是完全二叉树,可以用数组来构建.用数组构建树的规则很简单: 一个节点的父节点下标为: (当前下标 - 1)/2 一个节点的左节点下标为: 当前下标 * 2 + 1 &
C语言学习八结构体 dcj3sjt126com c
为什么需要结构体，看代码 # include <stdio.h> struct Student //定义一个学生类型，里面有age, score, sex, 然后可以定义这个类型的变量 { int age; float score; char sex; } int main(void) { struct Student st = {80, 66.6,
centos安装golang dcj3sjt126com centos
#在国内镜像下载二进制包 wget -c http://www.golangtc.com/static/go/go1.4.1.linux-amd64.tar.gz tar -C /usr/local -xzf go1.4.1.linux-amd64.tar.gz #把golang的bin目录加入全局环境变量 cat >>/etc/profile<
10.性能优化-监控-MySQL慢查询 frank1234 性能优化 MySQL慢查询
1.记录慢查询配置 show variables where variable_name like 'slow%' ; --查看默认日志路径查询结果：--不用的机器可能不同 slow_query_log_file=/var/lib/mysql/centos-slow.log 修改mysqld配置文件：/usr /my.cnf[一般在/etc/my.cnf，本机在/user/my.cn
Java父类取得子类类名 happyqing java this 父类子类类名
在继承关系中，不管父类还是子类，这些类里面的this都代表了最终new出来的那个类的实例对象，所以在父类中你可以用this获取到子类的信息！ package com.urthinker.module.test; import org.junit.Test; abstract class BaseDao<T> { public void
Spring3.2新注解@ControllerAdvice jinnianshilongnian @Controller
@ControllerAdvice，是spring3.2提供的新注解，从名字上可以看出大体意思是控制器增强。让我们先看看@ControllerAdvice的实现： @Target(ElementType.TYPE) @Retention(RetentionPolicy.RUNTIME) @Documented @Component public @interface Co
Java spring mvc多数据源配置 liuxihope spring
转自：http://www.itpub.net/thread-1906608-1-1.html 1、首先配置两个数据库 <bean id="dataSourceA" class="org.apache.commons.dbcp.BasicDataSource" destroy-method="close&quo
第12章 Ajax（下） onestopweb Ajax
index.html <!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd"> <html xmlns="http://www.w3.org/
BW / Universe Mappings blueoxygen BO
BW Element OLAP Universe Element Cube Dimension Class Charateristic A class with dimension and detail objects (Detail objects for key and desription) Hi
Java开发熟手该当心的11个错误 tomcat_oracle java 多线程工作单元测试
#1、不在属性文件或XML文件中外化配置属性。比如，没有把批处理使用的线程数设置成可在属性文件中配置。你的批处理程序无论在DEV环境中，还是UAT（用户验收测试）环境中，都可以顺畅无阻地运行，但是一旦部署在PROD 上，把它作为多线程程序处理更大的数据集时，就会抛出IOException，原因可能是JDBC驱动版本不同，也可能是#2中讨论的问题。如果线程数目可以在属性文件中配置，那么使它成为
推行国产操作系统的优劣 yananay windows linux 国产操作系统
最近刮起了一股风，就是去“国外货”。从应用程序开始，到基础的系统，数据库，现在已经刮到操作系统了。原因就是“棱镜计划”，使我们终于认识到了国外货的危害，开始重视起了信息安全。操作系统是计算机的灵魂。既然是灵魂，为了信息安全，那我们就自然要使用和推行国货。可是，一味地推行，是否就一定正确呢？先说说信息安全。其实从很早以来大家就在讨论信息安全。很多年以前，就据传某世界级的网络设备制造商生产的交