windbg

 windbg

1.基本概念：DUMP文件

.DUMP文件，也可以叫CORE文件，或者叫进程内存镜像，或者叫转存文件。

.进程的整个内存在某一时刻的镜像。

.通常是在程序异常终了时自动生成，或使用工具从运行中的进程中获取的，反映该进程的一个内存映象(同时加上调试信息)，主要是用来调试的。

2 产生dump文件

 windows7之后可以通过注册表，来制定dump文件输出路径和dump文件类型

要开启这个功能需要进行如下配置

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Windows Error Reporting\LocalDumps]

"DumpFolder"="c:\\dumpfile"

"DumpType"=dword:00000002

3 符号库的设置

SRV*E:\windbg\Symbol\SysSymbol*http://msdl.microsoft.com/download/symbols;srv*;E:\windbg\Symbol\UserSymbol

srv*表示是符号服务器，使用了一些复杂ID作为版本标识。对于microsoft的符号文件，使用srv*是没有问题的。对于应用程序符号文件夹，一般不要用srv*,否则导致找不到符号文件。除非使用symstore建立了应用符号服务器。关于symstore参考相关文档

4 WindDbg主要以命令方式工作，主要有三类命令：标准命令，元命令和扩展命令。

标准命令

    标准命令用来提供适用于所有调试目标的基本调试功能。

    所有基本命令都是实现在WinDBG内部的, 执行这些命令时不需要加载任何扩展模块。大多数标准命令是一两个字符或者符号, 只有version等少数命令除。标准命令的第一个字符是不分大小写的, 第二个字符可能区分大小写。迄今为止, WinDBG调试器共实现了130多条标准命令, 分为60多个系列。为了便于记忆, 可以根据功能将标准命令归纳为如下18个子类。

5 用户态调试（命令详情）

!peb

查看进程环境信息，可查看进程所有模块的基地址。

ln

将地址转化成符号，如函数名。

uf

反汇编并显示汇编代码 。

例子：.结合SysLog 定位

System log中

障害が発生しているモジュール名: NvPROBaseAPIMgr.dll、

バージョン: 4.0.0.7、タイム スタンプ: 0x4d5332cb

例外コード: 0xc0000005

障害オフセット: 0x00042ec0

首先找到崩溃模块基地址

0:000> !peb

略

    1130000 4d5332cb Feb 10 08:35:23 2011 C:\Program Files\NEC\UMF\Operations\Manager\bin\NvPROBaseAPIMgr.dll

略

通过基地址加偏移地址找到在该模块的哪个位置

0:000> ln 1130000+00042ec0

e:\nvp\si\build\si\src\lib\nvprobaseapi\dalloc.c(78)

(01172eb0)   NvPROBaseAPIMgr!nvdFree+0x10   |  (01172f30) 

NvPROBaseAPIMgr!nvdAlloc

通过反汇编以及起始地址加偏移查看具体哪个语句出错

0:000> uf NvPROBaseAPIMgr!nvdFree

NvPROBaseAPIMgr!nvdFree [e:\nvp\si\build\si\src\lib\nvprobaseapi\dalloc.c @ 73]:

   73 01172eb0(***) 56              push    esi

   76 01172eb1 8b742408        mov     esi,dword ptr [esp+8]

   76 01172eb5 85f6            test    esi,esi

   76 01172eb7 7452            je      NvPROBaseAPIMgr!nvdFree+0x5b (01172f0b)

NvPROBaseAPIMgr!nvdFree+0x9 [e:\nvp\si\build\si\src\lib\nvprobaseapi\dalloc.c @ 76]:

   76 01172eb9 57              push    edi

   76 01172eba 8d9b00000000    lea     ebx,[ebx]

NvPROBaseAPIMgr!nvdFree+0x10(***) [e:\nvp\si\build\si\src\lib\nvprobaseapi\dalloc.c @ 78]:

   78 01172ec0(***) f6460801     test    byte ptr [esi+8],1 

   78 01172ec4 8b3e            mov     edi,dword ptr [esi]

   78 01172ec6 7409            je      NvPROBaseAPIMgr!nvdFree+0x21 (01172ed1)

NvPROBaseAPIMgr!nvdFree+0x18 [e:\nvp\si\build\si\src\lib\nvprobaseapi\dalloc.c @ 79]:

   79 01172ec8 8b4610          mov     eax,dword ptr [esi+10h]

   79 01172ecb 50              push    eax

   79 01172ecc e804e4fbff      call    NvPROBaseAPIMgr!ILT+720(_nvcMemFree (011312d5)

略

通过e:\nvp\si\build\si\src\lib\nvprobaseapi\dalloc.c(78)

70 //jc dnode のリストを開放する

71 DWORD WINAPI

72 nvdFree(LPNVDNODE dphead)

73 {

74    LPNVDNODE dp, nextdp;

75

76    for (dp = dphead; dp; dp = nextdp) {

77       nextdp = dp->dn_dnext;

78       if (dp->dn_option & DN_COMPNAME) { ★ここでコアダンプ★

79          (void) nvcMemFree(dp->dn_compname);

80       }

81    略
96 }