转载: windbg 如何在内核模式调试用户空间的程序

1:使用!process 0 0 获取用户空间的所有的进程的信息

 !process 0 0

**** NT ACTIVE PROCESS DUMP ****
    PROCESS 80a02a60  Cid: 0002    Peb: 00000000  ParentCid: 0000
    DirBase: 00006e05  ObjectTable: 80a03788  TableSize: 150.
    Image: System

 。。。。。

2:使用.process /p + 你需要断的应用程序的EProcess地址切换到应用程序的地址空间

   例如:

 .process  /p  0x80a02a60

3:重新加载user PDB文件

     .reload /f /user

4:使用非侵入式的切换进程空间

    .process /i /p 0x80a02a60

5:下应用层断点  bp        bu      都可以

原文:http://blog.csdn.net/purplethunder/archive/2009/04/04/4048379.aspx

另外顺便证下在windbg调试时强制调用一个函数:(设函数名是 test_reg)

r esp=esp-4 ; ed esp eip ; r eip = test_reg

此条目发表在开发分类目录。将固定链接加入收藏夹。

发表评论

电子邮件地址不会被公开。 必填项已用*标注

*