⑴ windbg 怎么使用sos命令
首先, 可以选择从命令行中启动WinDBG. 举例, 使用下面的带有-logo参数的命令: windbg.exe -logo c:\logfile.txt 其次, 如果你已经在一个debug session里了, 你可以使用.logopen命令来开始记录. 第一步, 开启日志记录: .logopen d:\output.txt 第二步, 运行你想要输出到文本文件中的命令:!address 第三步, 关闭日志记录: .logclose 第四步, 检查是否还有日志记录打开: 比方说你抓了个full mp, 在debug一个很复杂的问题, 可能你已经有了结果, 或者还在研究当中, 这时你被别的事情打搅了, 回家了, 第二天来重开mp文件, 不记得昨天做到哪里了. 在或者说, 你的同事很牛, 他分析了mp文件并得出了结论. 你想学一下他的思路. 在这两种情况下, 让windbg把曾经输入过的命令按顺序写到文件里的功能就相当有帮助了.命令举例如下:
⑵ 如何用windbg查看Dump
所以现在大家都开始分析mp了，上次微软的大牛们过来给表演了一下windbg,
1 安装windbg (从微软网站上下载，free), 运行windbg, 设置symbol path,
File- Symbol File Path,
输入SRV*C:\websymbols*http://msdl.microsoft.com/download/symbols，
如果你已经有了symbo path, 直接输入就可以了。
2. 生成一个mp, 可以用windbg提供的adplus命令来生成，或者有一个简单的工具， IIS
Diagnostics, 这个也可以从微软下， 假设现在你的application hang 或者 crash 了，
运行这个Diagnostics， cancel弹出选择rule type的对话框，
然后选择process tab,
找到你要mp的进程， 右键生成mp就可以了， 然后可以顺便用这个工具直接分析了，还是说winbdg吧。
3. 现在mp有了， 运行windbg,打开这个mp （File- Open
Crash Dump...）, 运行下面的几个命令.
.load path\SOS.dll
(path是全路经，
一般在C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727，
根据自己.net版本选不同的)
.reload -f mscorwks.dll!threads
(察看所有线程（managed）,
这步一般就可以看到exception在哪一个线程了, 假设看到在 0 thread)~0s
(转到 0 thread)
!clrstack (查看call stack)
然后可以通过windbg上面的一些快捷功能打开 Process and Threads 窗口 和 call stack
窗口，双击call stack 里面的 function call， 就可以跳转到source code了。
!printException
(查看exception， 仅限于managed exception, 找到第一次被抛出来的exception address,
一看就知道哪个了)
!Printexception address
(查看具体的exception)入门结束，不求甚解，慢慢学习.
⑶ WinDbg怎么用
什么是WinDBG? WinDbg是微软开发的免费源码级调试工具。Windbg可以用于Kernel模式调试和用户模式调试，还可以调试Dump文件。由于大部分程序员不需要做Kernel模式调试， 我在这篇文章中不会介绍Kernel模式调试。Kernel模式调试对学习Windows核心极有帮助。如果你对此感兴趣，可以阅读Inside Windows 2000和Windbg所带的帮助文件。这篇文章得主要目的是介绍WINDBG的主要功能以及相关的命令。关于这些命令的详细语法，请参阅帮助文件。对文章中提到的许多命令，WINDBG有相应的菜单选项。如何得到帮助在命令（Command）窗口中输入.hh 命会调出帮助文件令。.hh keyword会显示关于keyword的详细命令。启动DebuggerWindbg可以用于如下三种调试：远程调试：你可以从机器A上调试在机器B上执行的程序。具体步骤如下：
? 在机器B上启动一个调试窗口（Debug Session）。你可以直接在Windbg下运行一个程序或者将Windbg附加（Attach）到一个进程。? 在机器B的Windbg命令窗口上启动一个远程调试接口（remote）：.server npipe:pipe=PIPE_NAMEPIPE_NAME是该接口的名字。? 在机器A上运行：windbg –remote npipe:server=SERVER_NAME,pipe=PIPE_NAMESERVER_NAME是机器B的名字。Dump文件调试：如果在你的客户的机器上出现问题，你可能不能使用远程调试来解决问题。你可以要求你的用户将Windbg附加到出现问题的进程上，然后在命令窗口中输入:
.mp /ma File Name创建一个Dump文件。在得到Dump文件后，使用如下的命令来打开它：windbg –z DUMP_FILE_NAME本地进程调试：你可以在Windbg下直接运行一个程序：
Windbg “path to executable” arguments 也可以将Windbg附加到一个正在运行的程序： Windbg –p “process id” Windbg –pn “process name” 注意有一种非侵入（Noninvasive）模式可以用来检查一个进程的状态并不进程的执行。当然在这种模式下无法控制被调试程序的执行。这种模式也可以用于查看一个已经在Debugger控制下运行的进程。具体命令如下： Windbg –pv –p “process id” Windbg –pv –pn “process name” 调试多个进程和线程如果你想控制一个进程以及它的子进程的执行，在Windbg的命令行上加上-o选项。Windbg中还有一个新的命令.childdbg 可以用来控制子进程的调试。如果你同时调试几个进程，可以使用 | 命令来显示并切换到不同的进程。在同一个进程中可能有多个线程。~命令可以用来显示和切换线程。调试前的必备工作在开始调试前首先要做的工作是设置好符号（Symbols）路径。没有符号，你看到的调用堆栈基本上毫无意义。Microsoft的操作系统符号文件（PDB）是对外公开的。另外请注意在编译你自己的程序选择生成PDB文件的选项。如果设置好符号路径后，调用堆栈看起来还是不对。可以使用lm, !sym noisy, !reload 等命令来验证符号路径是否正确。Windbg也支持源码级的调试。在开始源码调试前，你需要用.srcpath设置源代码路径。如果你是在生成所执行代码的机器上进行调试，符号文件中的源码路径会指向正确的位置，所以不需要设置源代码路径。如果所执行代码是在另一台机器上生成的，你可以将所用的源码拷贝（保持原有的目录结构）的一个可以访问的文件夹（可以是网络路径）并将源代码路径设为该文件夹的路径。注意如果是远程调试，你需要使用.lsrcpath来设置源码路径。静态命令：显示调用堆栈：在连接到一个调试窗口后，首先要知道的就是程序当前的执行情况k* 命令显示当前线程的堆栈。~*kb会显示所有线程的调用堆栈。如果堆栈太长，Windbg只会显示堆栈的一部分。.kframes可以用来设置缺省显示框架数。显示局部变量：接下来要做通常是用dv显示局部变量的信息。CTRL＋ALT＋V可以切换到更详细的显示模式。关于dv要注意的是在优化过的代码中dv的输出极有可能是不准确的。这时后你能做的就是阅读汇编代码来发现你感兴趣的值是否存储在寄存器中或堆栈上。有时后当前的框架（Frame）上可能找不到你想知道的数据。如果该数据是作为参数传到当前的方法中的，可以读一读上一个或几个框架的汇编代码，有可能该数据还在堆栈的某个地址上。静态变量是储存在固定地址中的，所以找出静态变量的值较为容易。.Frame（或者在调用堆栈窗口中双击）可以用来切换当前的框架。注意dv命令显示的是当前框架的内容。你也可在watch窗口中观察局部变量的值。显示类和链表： dt可以显示数据结构。比如dt PEB 会显示操作系统进程结构。在后面跟上一个进程结构的地址会显示该结构的详细信息：dt PEB 7ffdf000。Dl命令可以显示一些特定的链表结构。显示当前线程的错误值：!gle会显示当前线程的上一个错误值和状态值。!error命令可以解码HRESULT。搜索或修改内存：使用s 命令来搜索字节，字或双字，QWORD或字符串。使用e命令来修改内存。计算表达式：？命令可以用来进行计算。关于表达式的格式请参照帮助文档。使用n命令来切换输入数字的进制。显示当前线程，进程和模块信息：!teb显示当前线程的环境信息。最常见的用途是查看当前线程堆栈的起始地址，然后在堆栈中搜索值。!peb显示当前进程的环境信息，比如执行文件的路径等等。lm显示进程中加载的模块信息。显示寄存器的值：r命令可以显示和修改寄存器的值。如果要在表达式中使用寄存器的值，在寄存器名前加@符号（比如@eax）。显示最相近的符号：ln Address。如果你有一个C＋＋对象的指针，可以用来ln来查看该对象类型。 查找符号：x命令可以用来查找全局变量的地址或过程的地址。x命令支持匹配符号。x kernel32!*显示Kernel32.dll中的所有可见变量，数据结构和过程。查看lock：!locks显示各线程的锁资源使用情况。对调试死锁很有用。查看handle：!handle显示句柄信息。如果一段代码导致句柄泄漏，你只需要在代码执行前后使用!handle命令并比较两次输出的区别。有一个命令!htrace对调试与句柄有关的Bug非常有用。在开始调试前输入：!htrace –enable 然后在调试过程中使用!htrace handle_value 来显示所有与该句柄有关的调用堆栈。显示汇编代码：u。程序执行控制命令：设置代码断点：bp/bu/bm 可以用来设置代码断点。你可以指定断点被跳过的次数。假设一段代码KERNEL32!SetLastError在运行很多次后会出错，你可以设置如下断点： bp KERNEL32!SetLastError 0x100.在出错后使用bl 来显示断点信息（注意粗体显示的值）：0 e 77e7a3b0 004f (0100) 0:*** KERNEL32!SetLastError重新启动调试（.restart命令）并设置如下的断点：bp Kernel32!SetLastError 0x100-0x4fDebugger会停在出错前最后一次调用该过程的地方。你可以指定断点被激活时Debugger应当执行的命令串。在该命令串中使用J命令可以用来设置条件断点：bp `mysource.cpp:143` "j (poi(MyVar)”0n20) ''; 'g' "上面的断点只在MyVar的值大于32时被激活(g命令条件断点的用途极为广泛。你可以指定一个断点只在特殊的情况下被激活，比如传入的参数满足一定的条件，调用者是某个特殊的过程，某个全局变量被设为特殊的值等等。设置内存断点：ba可以用来设置内存断点。调试过程中一个常见的问题是跟踪某些数据的变化。如下的断点：ba w4 0x40000000 "kb; g"可以打印出所有修改0x40000000的调用堆栈。控制程序执行：p, pa,t, ta等命令可以用来控制程序的执行。控制异常和事件处理：Debugger的缺省设置是跳过首次异常(first chance expcetion)，在二次异常(second chance exception)时中断程序的执行。sx命令显示Debugger的设置。sxe和sxd可以改变Debugger的设置。 sxe clr可以控制Debugger在托管异常发生时中断程序的执行。常用的Debugger事件有： av 访问异常 eh C++异常 clr 托管异常 ld 模块加载-c 选项可以用来指定在事件发生时执行的调试命令。
⑷ windbg的d命令是干什么的
d，代表data，表示查看数据命令。
⑸ windbg !irp 命令，求大牛详解
http://www.360doc.com/content/14/1001/17/5470123_413693347.shtml
⑹ WinDbg调试时t命令和p命令的区别
虽然没用过WinDbg，不过用过简单的debug，里面也有t和p命令，我猜想两者是类似的。
t会进入函数调用中，即call p，会进入入口地址为p的函数中去。
p对于上述情况不会进入函数体，而直接执行call p，并跳跃到下一条指令。
感觉也和VC中的单步和跟踪差不多。
⑺ windbg是什么东西拜托各位了 3Q
WinDbg windbg是在windows平台下，强大的用户态和内核态调试工具。相比较于Visual Studio,它是一个轻量级的调试工具，所谓轻量级指的是它的安装文件大小较小，但是其调试功能，却比VS更为强大。它的另外一个用途是可以用来分析mp数据。 虽然windbg也提供图形界面操作，但它最强大的地方还是有着强大的调试命令，一般情况会结合GUI和命令行进行操作，常用的视图有："thread","stack" 和"command"，其中command视图是默认打开的。 下面简单介绍常用的命令： 查看stack：kb, kp, kP 查看内存：dd,da,db 分析死锁：!cs, !lock 自动分析：!analyze 加载dll: .load, .reload 显示加载的模块信息： lm, lmvm 扩展阅读： 1 1）你可以从下面这个连接获取它： http://msdn.microsoft.com/en-us/windows/hardware/gg463016 2 2）利用windbg分析mp数据的一个权威网站： http://mpanalysis.org/ 3 3）windbg命令解释： http://windbg.info/doc/1-common-cmds.html
⑻ windbg 查看内核函数 求助
首先你要配置好测试环境：参考VMware+Windgb+Win7 内核驱动调试
在你的主机上配置Symbols
配置sympath，C:\Users\Admin\Desktop\first\objchk_win7_x86\i386是你编译好的sys目录: SRV*C:\Symbols*http://msdl.microsoft.com/download/symbols;C:\Users\Admin\Desktop\first\objchk_win7_x86\i386
配置Source search path假设文件放在C:\Users\Admin\Desktop\first]: C:\Users\Admin\Desktop\first
然后在命令行中输入：.reload
打开源文件：Ctrl+O
接着检查是否已经加载sys.dbg，命令为：
kd> !lmi ndislwf
Loaded Mole Info: [nt]
Mole: ntoskrnl Base Address: 80a02000
Symbol Type: PDB – Symbols loaded successfully from symbol server.
d:\DebugSymbols\ndislwf.pdb\\ntoskrnl.pdb
Compiler: C – front end [13.10 bld 2179] – back end [13.10 bld 2190] Load Report: public symbols
d:\DebugSymbols\ndislwf.pdb\\ndislwf.pdb
接着如果出现如上的结果，表明可以手动设置断点，否则(个人经验总是不能设置)。假设在ndislwf 的DriverEntry 设置断点。在启动驱动之前，中断在WinDbg的命令窗口，输入：bu ndislwf!DriverEntry
接下来开始安装测试驱动。若执行到DriverEntry该函数，就会停下来，并且会在代码框中对应的代码中用红色标志，然后按F10可以单步调试。
如果查看已经设置哪些断点:
kd> bl
0 e [d:\winddk\3790\src\general\ioctl\sys\filter.c @ 123] 0001 (0001) ndislwf!DriverEntry
1 e [d:\winddk\3790\src\general\ioctl\sys\filter.c @ 338] 0001 (0001) ndislwf!SioctlDeviceControl+0×103
注意两件事： 每个断点都有一个号码并且显示出断点状态，“e”是“enabled”，而“d”是“disabled”。假设你希望临时停止使用某个断点。bd (“Disable Breakpoint”) 将会完成它。你只需指定断点号码：
kd> bd 1
kd> bl
0 e [d:\winddk\3790\src\general\ioctl\sys\filter.c @ 123] 0001 (0001) ndislwf!DriverEntry
1 d [d:\winddk\3790\src\general\ioctl\sys\filter.c @ 338] 0001 (0001) ndislwf!SioctlDeviceControl+0×103 ·
相似的方法，永久移除断点号码，使用bc 1 (“Clear Breakpoint”)。现在该断点将会从断点列表中消除。
假设你希望临时停止使用某 个断点。bd (“Disable Breakpoint”) 将会完成它。你只需指定断点号码：
kd> bd 1
kd> bl
0 e [d:\winddk\3790\src\general\ioctl\sys\sioctl.c @ 123] 0001 (0001) SIoctl!DriverEntry
1 d [d:\winddk\3790\src\general\ioctl\sys\sioctl.c @ 338] 0001 (0001) SIoctl!SioctlDeviceControl+0×103
· 相似的方法，永久移除断 点号码，使用bc 1 (“Clear Breakpoint”)。现在该断点将会从断点列表中消除。
就先写这么写。怕到时候测试又忘记了。
⑼ 关于windbg的扩展命令
你的调试符号路径没有搞吧。菜单->File->Symbol File Path，在里面填上SRV*D:\Symbols*http://msdl.microsoft.com/download/symbols（其中D:\Symbols是你的本地符号存储路径），然后勾选reload，确定。
⑽ 如何用WinDBG远程调试程序
远程调试：你可以从机器A上调试在机器B上执行的程序。具体步骤如下：?在机器B上启动一个调试窗口（DebugSession）。你可以直接在Windbg下运行一个程序或者将Windbg附加（Attach）到一个进程。?在机器B的Windbg命令窗口上启动一个远程调试接口（remote）：.servernpipe:pipe=PIPE_NAMEPIPE_NAME是该接口的名字。?在机器A上运行：windbg–remotenpipe:server=SERVER_NAME,pipe=PIPE_NAMESERVER_NAME是机器B的名字。Dump文件调试：如果在你的客户的机器上出现问题，你可能不能使用远程调试来解决问题。你可以要求你的用户将Windbg附加到出现问题的进程上，然后在命令窗口中输入:.mp/maFileName创建一个Dump文件。在得到Dump文件后，使用如下的命令来打开它：windbg–zDUMP_FILE_NAME本地进程调试：你可以在Windbg下直接运行一个程序：Windbg“pathtoexecutable”arguments也可以将Windbg附加到一个正在运行的程序：Windbg–p“processid”Windbg–pn“processname”注意有一种非侵入（Noninvasive）模式可以用来检查一个进程的状态并不进程的执行。当然在这种模式下无法控制被调试程序的执行。这种模式也可以用于查看一个已经在Debugger控制下运行的进程。具体命令如下：Windbg–pv–p“processid”Windbg–pv–pn“processname”