本人進(jìn)2年來主要在做windbg調(diào)試相關(guān)的工作, 有一些心得和體會(huì). 我會(huì)逐片寫在我blog中,希望對(duì)大家有用.
windbg調(diào)試最重要的是要對(duì)系統(tǒng)的方方面面有比較深入的了解. 只有了解了系統(tǒng)工作原理才能夠順藤摸瓜.
一步步展開線索.
windbg基礎(chǔ)篇 比較注重于原理方面的討論, 逐步展開調(diào)試方法. 此文當(dāng)是基于我給公司同事做培訓(xùn)時(shí)的ppt.
所以難免會(huì)寫的不是面面俱到.
如果您發(fā)現(xiàn)文章中有任何錯(cuò)誤和意見,請(qǐng)給我留言. 謝謝.
寄存器上下文
“上下文”的常用含義是一組寄存器，表示處理器在某個(gè)特定時(shí)刻的狀態(tài)，因此也被稱之為寄存器上下文。
每條線程都有自己的上下文信息;
0:000> r 讀取第一條線程寄存器值
eax=00000002 ebx=7ffff000 ecx=00000001 edx=00000001 esi=0012fe6c edi=0012ff48
0:001> r 讀取第二條線程寄存器值
eax=003dfd24 ebx=77b451f4 ecx=00000000 edx=00000000 esi=00000000 edi=7fffd000
異常上下文
當(dāng)發(fā)生中斷或者異常時(shí), 系統(tǒng)會(huì)將當(dāng)前寄存器的值保存到棧內(nèi)存中（我們稱之為context record）,
這個(gè)記錄稱之為異常上下文. 分析轉(zhuǎn)儲(chǔ)dump時(shí),可以使用.ecxr將dump中保存的異常上下文切換到寄存器上下文中
異常上下文結(jié)構(gòu)體
0:001> dt ntdll!_CONTEXT
+0x000 ContextFlags : Uint4B
+0x01c FloatSave : _FLOATING_SAVE_AREA
+0x09c Edi : Uint4B
+0x0a0 Esi : Uint4B
+0x0a4 Ebx : Uint4B
+0x0a8 Edx : Uint4B
+0x0ac Ecx : Uint4B
+0x0b0 Eax : Uint4B
+0x0b4 Ebp : Uint4B
+0x0b8 Eip : Uint4B
+0x0c4 Esp : Uint4B
異常上下文 與 SEH (Window32 Structured Exception Handling)
異常發(fā)生時(shí)，操作系統(tǒng)捕獲到CPU異常(內(nèi)核中掛接了CPU異常處理函數(shù)),CPU去執(zhí)行操作系統(tǒng)異常處理函數(shù)，操作系統(tǒng)再將此異常通知給用戶態(tài)進(jìn)程的異常處理函數(shù),讓用戶態(tài)進(jìn)程有機(jī)會(huì)去處理異常.用戶態(tài)進(jìn)程處理接收到異常將會(huì)進(jìn)入catch block或者什么都不做。
如果用戶態(tài)進(jìn)程什么都不做，此時(shí)操作系統(tǒng)默認(rèn)的行為就是終止程序并顯示向Microsoft發(fā)送錯(cuò)誤報(bào)告界面。 異?？梢员皇謩?dòng)觸發(fā)，如c#/c++中的throw關(guān)鍵字。異常是通過異常編碼來標(biāo)示的，如比如訪問無效地址的號(hào) 碼是0xc0000005, WinDBG中的斷點(diǎn)和單步調(diào)試都是通過異常基礎(chǔ)來實(shí)現(xiàn)的。
弄清楚異常發(fā)生的時(shí)間、地址、導(dǎo)致異常的指令和異常導(dǎo)致的結(jié)果對(duì)排錯(cuò)是至關(guān)重要的。
當(dāng)一個(gè)異常發(fā)生時(shí)，操作系統(tǒng)要向引起異常的線程的棧里壓入三個(gè)結(jié)構(gòu)，分別是：
E X C E P T I O N _ R E C O R D結(jié)構(gòu)、C O N T E X T結(jié)構(gòu)和E X C E P T I O N _ P O I N T E R S結(jié)構(gòu)。
E X C E P T I O N _ R E C O R D結(jié)構(gòu)包含有關(guān)已發(fā)生異常的獨(dú)立于C P U的信息，C O N T E X T結(jié)構(gòu)包含已發(fā)生異 常的依賴于C P U的信息。E X C E P T I O N _ P O I N T E R S結(jié)構(gòu)只有兩個(gè)數(shù)據(jù)成員，二者都是指針，分別指向被壓入棧的E X C E P T I O N _ R E C O R D和C O N T E X T結(jié)構(gòu)：
0:000> dt EXCEPTION_POINTERS 0012fe6c
EXCEPTION_POINTERS
+0x000 ExceptionRecord : (null)
+0x004 ContextRecord : (null) == _CONTEXT
在Vista和Windows 2008中，系統(tǒng)改良了Error Reporting功能。程序崩潰后，系統(tǒng)會(huì)在Error Reporting的時(shí)候從內(nèi)核直接掛起出錯(cuò)的進(jìn)程。這個(gè)時(shí)候如果用調(diào)試器檢查，會(huì)看到出錯(cuò)進(jìn)程就停在發(fā)生問題的指令上，
不再需要在調(diào)試器中手動(dòng)恢復(fù)exception context。
程序崩潰調(diào)試
Stack 沒有指出任何有用的信息:
0:000> kb
ChildEBP RetAddr Args to Child
0012f74c 7c821b74 77e999ea d0000144 00000004 ntdll!KiFastSystemCallRet
0012f750 77e999ea d0000144 00000004 00000000 ntdll!ZwRaiseHardError+0xc
0012f9bc 004339be 0012fa08 7ffdd000 0044c4d8 kernel32!UnhandledExceptionFilter+0x4b4
這時(shí)候往往需要進(jìn)行手工分析和恢復(fù)異常上下文，以找回真正的問題所在/調(diào)用堆棧。
先切換到出錯(cuò)線程。
> !teb 觀察線程環(huán)境塊
StackBase: 002a0000
StackLimit: 0029e000
>dds/dps/dqs [StackLimit] ~ [StackBase]
然后查找到RtlDispatchException, 具體函數(shù)參數(shù)請(qǐng)查詢此函數(shù)原型。
0029fbf8 0029fc78
0029fbfc 0029fc94 //第二個(gè)函數(shù)參數(shù)
cxr加上異常上下文地址來切換上下文：
>.cxr 0029fc94 ---> 此步執(zhí)行之后,再使用
> kb 往往可以看出來真正的錯(cuò)誤代碼調(diào)用
當(dāng)然可以采用另外的方法來搜索異常上下文標(biāo)志:
s -d StackLimit(察看上面的!teb結(jié)果) L1000 1003f
你可以可以搜索到異常上下文信息.
0029fc94 0001003f 00000000 00000000 00000000 00000000
為什么搜索 1003f 呢??
>dd 0029fc94 你會(huì)看到前四個(gè)字節(jié)存放的就是 1003f
至此, 使用此方法你可以恢復(fù)出任何異常上下文. 找出異常上下文,可以恢復(fù)出出錯(cuò)時(shí)cpu寄存器的所有值.
posted on 2009-08-22 13:47
Only Soft 閱讀(5261)
評(píng)論(4) 編輯 收藏 引用 所屬分類:
Windbg