windbg 常用命令设置系统PBD和默认下载地址 srv* D:\syspbd *http://msdl.microsoft.com/download/symbols遍历所有模块 lm 显示当前函数内所有局部变量函数参数的值 dv查询模块信息 x sede_guardx!* x sede_guardx!drawWatermark* x sede_guardx!*createMemDC*WinDbg 里设置在加载到某个 DLL 进入断点可以使用如下命令 sxe ld:explorerframe.dll 卸载某个DLL 的时候下断点的WinDBG命令 sxe ud:explorerframe.dll查看当前堆栈 k kn ~*k // 详细显示当前异常信息 !analyze -v // 诊断线程调用栈上是否有任何线程阻塞了其他线程 !analyze -hang // 查看异常分析信息尽管调试器并未诊断出异常 !analyze -f断点相关 bu sede_guardx!drawWatermark bu sede_guardx!WatermarkWindow::createMemDC bu sede_guardx!WatermarkWindow::createMemDC0x25d 列出所有断点 bl 清除所有断点 bc * 清除1号断点 bc 1 清除1号、2号、5号断点 bc 1 2 5 启用所有断点 be * 启用1号断点 be 1 启用1号、2号、5号断点 be 1 2 5 禁用所有断点 bd * 禁用1号断点 bd 1 禁用1号、2号、5号断点 bd 1 2 5单步调试 p 执行到下一个函数调用处停下 pc 执行到7c801b0b地址处停下 pa 7c801b0b Step into(F11) t 执行到下一个进入点Call指令处停下 tc 函数参数变量请用dv命令 dv强制重新加载符号表 .reload /f sede_guardx.dll 不行就试试 .reload /i sede_guardx.dll查看死锁命令 !locks https://bbs.kanxue.com/thread-280577.htm切换 x86 dump 可用处理器模式值有x86、adm64、ia64、ebc .effmach x86 加载外部模块wow64exts.dll .load wow64exts如何查看WaitForSingleObjectEx参数. 0 Id: 27c4.1e30 Suspend: 0 Teb: 0000005d823f5000 Unfrozen # Child-SP RetAddr Call Site 00 0000005d824fe348 00007ffb63f089b3 ntdll!NtWaitForSingleObject0x14 01 0000005d824fe350 00007ffb25ded484 KERNELBASE!WaitForSingleObjectEx0x93 02 0000005d824fe3f0 00007ffb25d4364d mso30win32client!Ordinal14970x528a0 1. 切换线程 ~0s 2. 切到 01 帧并重建寄存器 .frame /r 1 输出 0:000 .frame /r 1 01 0000005d824fe350 00007ffb25ded484 KERNELBASE!WaitForSingleObjectEx0x93 rax0000000000000004 rbx0000000000000000 rcx00000000000005d8 rdx0000000000000000 rsi0000000000000000 rdi00000000000005d8 rip00007ffb63f089b3 rsp0000005d824fe350 rbp0000005d824fe468 r800007ffb679d5840 r90000005d824f7d10 r1000007ffb22aa4618 r110000005d824f7ed0 r120000000000000073 r130000000000000000 r1400000000000005d8 r150000000000000001 3. 查句柄是什么对象 00000000000005d8是rcx的值 !handle 00000000000005d8 f 输出 0:000 !handle 00000000000005d8 f Handle 00000000000005d8 Type Event Attributes 0 GrantedAccess 0x1f0003: Delete,ReadControl,WriteDac,WriteOwner,Synch QueryState,ModifyState HandleCount 2 PointerCount 65537 Name none Object specific information Event Type Manual Reset Event is Waiting 4. 也可以用ub命令 ub 00007ffb5f795394 l16 命令分析 01 0000005d82ffe9b0 00007ffb5f795394 KERNELBASE!WaitForSingleObjectEx0x93 00007ffb5f795380 baffffffff mov edx,0FFFFFFFFh 00007ffb5f795385 4889bc24a0000000 mov qword ptr [rsp0A0h],rdi 00007ffb5f79538d 48ff15c4a00900 call qword ptr [winhttp!_imp_WaitForSingleObjectEx (00007ffb5f82f458)] 0FFFFFFFF就是INFINITE 
长河君 · 2026/10/21 2:45:26 · 阅读 1.2k windbg 常用命令
windbg 常用命令设置系统PBD和默认下载地址 srv* D:\syspbd *http://msdl.microsoft.com/download/symbols遍历所有模块 lm 显示当前函数内所有局部变量函数参数的值 dv查询模块信息 x sede_guardx!* x sede_guardx!drawWatermark* x sede_guardx!*createMemDC*WinDbg 里设置在加载到某个 DLL 进入断点可以使用如下命令 sxe ld:explorerframe.dll 卸载某个DLL 的时候下断点的WinDBG命令 sxe ud:explorerframe.dll查看当前堆栈 k kn ~*k // 详细显示当前异常信息 !analyze -v // 诊断线程调用栈上是否有任何线程阻塞了其他线程 !analyze -hang // 查看异常分析信息尽管调试器并未诊断出异常 !analyze -f断点相关 bu sede_guardx!drawWatermark bu sede_guardx!WatermarkWindow::createMemDC bu sede_guardx!WatermarkWindow::createMemDC0x25d 列出所有断点 bl 清除所有断点 bc * 清除1号断点 bc 1 清除1号、2号、5号断点 bc 1 2 5 启用所有断点 be * 启用1号断点 be 1 启用1号、2号、5号断点 be 1 2 5 禁用所有断点 bd * 禁用1号断点 bd 1 禁用1号、2号、5号断点 bd 1 2 5单步调试 p 执行到下一个函数调用处停下 pc 执行到7c801b0b地址处停下 pa 7c801b0b Step into(F11) t 执行到下一个进入点Call指令处停下 tc 函数参数变量请用dv命令 dv强制重新加载符号表 .reload /f sede_guardx.dll 不行就试试 .reload /i sede_guardx.dll查看死锁命令 !locks https://bbs.kanxue.com/thread-280577.htm切换 x86 dump 可用处理器模式值有x86、adm64、ia64、ebc .effmach x86 加载外部模块wow64exts.dll .load wow64exts如何查看WaitForSingleObjectEx参数. 0 Id: 27c4.1e30 Suspend: 0 Teb: 0000005d823f5000 Unfrozen # Child-SP RetAddr Call Site 00 0000005d824fe348 00007ffb63f089b3 ntdll!NtWaitForSingleObject0x14 01 0000005d824fe350 00007ffb25ded484 KERNELBASE!WaitForSingleObjectEx0x93 02 0000005d824fe3f0 00007ffb25d4364d mso30win32client!Ordinal14970x528a0 1. 切换线程 ~0s 2. 切到 01 帧并重建寄存器 .frame /r 1 输出 0:000 .frame /r 1 01 0000005d824fe350 00007ffb25ded484 KERNELBASE!WaitForSingleObjectEx0x93 rax0000000000000004 rbx0000000000000000 rcx00000000000005d8 rdx0000000000000000 rsi0000000000000000 rdi00000000000005d8 rip00007ffb63f089b3 rsp0000005d824fe350 rbp0000005d824fe468 r800007ffb679d5840 r90000005d824f7d10 r1000007ffb22aa4618 r110000005d824f7ed0 r120000000000000073 r130000000000000000 r1400000000000005d8 r150000000000000001 3. 查句柄是什么对象 00000000000005d8是rcx的值 !handle 00000000000005d8 f 输出 0:000 !handle 00000000000005d8 f Handle 00000000000005d8 Type Event Attributes 0 GrantedAccess 0x1f0003: Delete,ReadControl,WriteDac,WriteOwner,Synch QueryState,ModifyState HandleCount 2 PointerCount 65537 Name none Object specific information Event Type Manual Reset Event is Waiting 4. 也可以用ub命令 ub 00007ffb5f795394 l16 命令分析 01 0000005d82ffe9b0 00007ffb5f795394 KERNELBASE!WaitForSingleObjectEx0x93 00007ffb5f795380 baffffffff mov edx,0FFFFFFFFh 00007ffb5f795385 4889bc24a0000000 mov qword ptr [rsp0A0h],rdi 00007ffb5f79538d 48ff15c4a00900 call qword ptr [winhttp!_imp_WaitForSingleObjectEx (00007ffb5f82f458)] 0FFFFFFFF就是INFINITE