首先被提示，这是没有pdb文件 的

这个就很详细了，尝试向0地址写入，它其实就是调试中用到的结构体：可以直接通过MSDN查到它的定义

表示线程试图写入不可访问的地址，很明显，这里表示第二种，具体参考MSDN

符号文件对于调试程序是相当重要的，通常符号文件中包含以下内容

源文件路径以及每个符号的行号

变量，结构等的类型信息

ln 命令显示给定地址处的或者最近的符号。

ln表示list near，ln命令将尽可能地给出与特定地址相关的符号，如果没有符号能够精确地与这个地址匹配，那么调试器将通过指针算法对靠近这地址的符号进行运逄，

我们发现，第一个显示为Exact matches:表示精确匹配了一个地址，如果不是精确匹配，我们要小心，是否模块进行了优化，在优化后，一个函数，可能被拆分为多个部分

分别位于不同的地址，经过优化的映像可以通过lm查看：会有perf标识

当你在查看某部分数据，却不知道这部分数据所表示的内容时，这个命名能带来极大的帮助

伪寄存器都是通过r来操作的

对于那些偶尔使用调试器的用户是很难记得所有平台的指令指针寄存器名字(或其他的名字)，为了克服这个问题，调试器的开发团队引入了各种伪寄存器，由调试器把这些伪寄存器对应到不同的硬件架构上，形式为$name,与标准的寄存器一样,如果要在表达式中使用伪寄存器,那么必须使用转义字符@

 一般可以直接在这下断点，

注意到下面显示的分别是$ip,eip,虽然它们在X86下是同一个东东.

其实也是对应当前线程,如果要看所有线程的当前函数的返回地址:

主要的值寄存器，在函数调用返回后，函数的结果将放在这个寄存器中，根据处理器架构的不同，$retreg的值分别为

当前的栈指针，根据处理器架构的不同，$csp的值分别为

当前进程的标识(PID)

当前线程的标识(TID0

$ea 最后一条被执行指令的有效地址（effective address）。如果这条指令没有一个有效地址，将显示"Bad register error"。如果这条指令有两个有效地址，则显示第一个地址。

$ra 当前堆栈的返回地址。

这个在执行命令中特别有用。例如，g @$ra 将一直执行到返回地址处（虽然，对于“步出(stepping out)”当前函数gu (Go Up)是一个更加准备有效的方法）。

$ip 指令指针寄存器：

Itanium 处理器：涉及 iip（请看表后的注解）

x64处理器：和rip相同

$previp   前一个事件发生时的指令指针。（中断进入调试器算做一个事件。）

$thread 当前线程的地址（换句话说，就是 ETHREAD 块的地址）。

$ptrsize   指针大小。在内核模式下，指目标计算机上的指针大小。

有二十个自定义伪寄存器：$t0, $t1, ..., $t19。它们是可以通过调试器读写的变量。能用来保存任意整数值。做为循环变量时非常有用

除非 r 命令使用了 ? 开关选项，否则一个伪寄存器总是具有整数类型。如果用到了 ? 选项，则伪寄存器可以获得赋给它的任意类型，例如，下面的命令把 UNICODE_STRING** 类型和 0x0012FFBC 值赋给了 $t15（译注：这里好像是 UNICODE_STRING 类型吧！另外，如果 UNICODE_STRING 解析不了，可以用 _UNICODE_STRING）。

可以看到$t0保存的是真实的test1!g_char的指针地址，而$t1只是保存了它的对象地址

dv 命令显示当前作用域的所有局部变量的名字和值。

我们可以看到，的确显示的四个局部变量，当然，出现的顺序可能并不一致，

/i 使得输出中显示变量的类型：局部、全局、参数、函数或未知：

数据结构和陌生的数据类型不会完整显示，而只显示他们的类型名。要显示整个结构或结构中的特定成员，使用dt (Display Type)命令。

显示不了local，这是因为dv命令是显示当前函数的局部变量，而当前函数是系统的函数（比如ntdll!DbgBreakPoint），那么因为没有系统模块的私有符号，所以会出错。

建议你切换到0号线程（~0s），然后使用单步或者gu命令执行到CSimple1Demo模块中的函数，然后再用dv命令

我们可以看到，第一个就是指向虚表的指针:__VFN_table

补充点小细节，用dt /f <addr>可以用它来查看任何地方的任何代码处有些什么参数和局部变量。它会关闭对值得显示并隐含/V。/f 必须是最后一个标志

也可以使用通配符，注意用双引号

对于后者，WinDBG 会自动找到MyApp!SomeFunction 对应的地址并设置断点。 但是使用bp的问题在于：

1）当代码修改之后，函数地址改变，该断点仍然保持在相同位置，不一定继续有效；

上例说明三种用法作用是一样的，都是bp　Address（windbg内部会换成符号文件对应的地址，或伪寄存器的地址）

bp /1 Address表示该断点为一次性断点，有点类似于Ｆ４作用于OD,一旦激活就自动删除了：

默认情况下，断点在第一次执行断点位置的代码时被激活。这种默认情况和把Passes 设置为1是一样的。要使得断点在程序至少执行该代码一次之后才激活，可以将这个值设置为2或更大。例如，值为2时，使得断点在第二次执行到该代码时被激活。该参数创建一个在每次执行断点处的代码时被减少1的计数器。要查看Passes 计数器的初始值和当前值，使用bl (Breakpoint List)。Passes 仅当程序响应g (Go)命令并执行通过断点时才减少。单步或跟踪(tracing)通过它是不会减少的。当Passes 到达1时，可以通过清除并重设断点来重置它。

我们来试试，用bc把以前断点都删除，再设置在第三次运行LoadLibraryW时激活该处断点

我们注意到这个断点显示的是) Ｆ５运行：

我们注意到这个断点现在显示的是000１ (0003)，表示前面忽略了两次,

bu 命令是针对某个符号下断点。 比如 bu MyApp!SomeFunction 。 在代码被修改之后， 该断点可以随着函数地址改变而自动更新到最新位置。  而且bu 断点会保存在WinDbg工作空间中， 下次启动 Windbg 的时候该断点会自动设置上去。另外，在模块没有被加载的时候，bp 断点会失败（因为函数地址不存在），而bu 断点则可以成功。 新版的WinDBG中 bp失败后会自动被转成bu

这个函数比较有用，比如我想对Draw开头的函数都下断点：

对于每个断点，该命令显示以下信息：

    断点ID。该ID是一个可以在其他命令中引用这个断点的十进制数字。

    如果出现字母"u"，说明断点是未定的。即，该断点中的符号引用还没有和任何当前已加载的模块匹配。

    断点位置的虚拟地址或符号表达式。如果启用了源码行号加载，bl 命令显示文件和行号信息而不是地址偏移。如果该断点未定，则它的地址会被省略并出现在列表末尾。

    (仅数据断点) 数据断点的类型和大小信息会显示出来。类型可以是e (执行)、 r (读/写)、w (写)或 i (输入/输出)。类型后面是以字节为单位的大小。关于这种类型断点的更多信息，查看ba (Break on Access)。

    关联的进程和线程。如果线程是用三个星号("***")表示的，说明这不是一个指定线程的断点。

    符合断点地址的模块和函数以及偏移。如果是未定断点，这里会用括号括起来的断点地址替代。如果断点设置在合法地址，但是没有符号信息，这个域为空。

    该断点触发时要自动执行的命令。这个命令以引号括起来。

使用星号(*)来指定所有断点

ba 命令就是针对数据下断点的命令， 该断点在指定内存被访问时触发。 命令格式为

Size 是监控访问的位置的大小，以字节为单位。 值为 1、2或4，还可以是 8（64位机）。

有时我们只想让程序断在某个线程上：

前面~1 表示只有当指定的线程ID为1执行到达断点的地址上时，调试器才会停止.

 在X86下dr0-dr3记录了断点地址值，dr6是断点的状态寄存器，dr7是断点的控制寄存器。

另外，在初始断点命中时，尚不能设置硬件断点，如果设置，会得到如下错误：

初始断点后系统会重设线程上下文，因此不能设置硬件断点，建议执行到程序的入口后再设置

!gle 扩展显示当前线程的最后一个错误码。

-all 显示目标系统中每个用户模式线程的最终错误。如果在用户模式下省略该参数，调试器显示当前线程的最终错误。如果内核模式下省略该参数，调试器显示当前的寄存器上下文指定的线程的最终错误。

g(go)命令开始指定进程或线程的执行。这种执行将会在程序结束、遇到BreakAddress 或者其他造成调试器停止的事件发生时停止。

这个我们太经常用到了，

1.如果直接用g不带参数，表示无条件恢复调试目标的执行

2.g Address，相当于设了一个一次性断点，然后将调试目标执行到断点

3.gu 用于使调试目标执行完当前函数并且返回到调用者，由于这个命令知道当前的栈指针，因此它可以从递归函数调用中返回

4.运行到光标处，可以使用Ctrl+F10

5.gc 命令使用和遇到断点时一样的方式(单步、跟踪或自由执行)来从一个条件断点恢复执行。

6.gn和gN 命令继续给定线程的执行，但是不将异常标记为已处理。这样使得应用程序的异常处理器可以处理该异常

7.gh命令将给定线程的异常标识为已处理，并且允许该线程从产生异常的指令继续执行。

sx* 命令用来控制被调试的程序发生某个异常或特定事件时，调试器要采取的动作

sx 命令显示当前进程的异常列表和所有非异常的事件列表，并且显示调试器遇到每个异常和事件时的行为。

sxr 命令将所有异常和事件过滤器的状态重设为默认值。命令被清除、中断和继续选项被重设为默认值，等等。

sx这个命令的输出信息可以分为三个部分：

第一部分是事件处理与相应处理模式的交互，第二部分是标准的异常交互和处理行为，最后一部分是用户自定义的异常交互和处理行为

以下面为例，我们先输入sxr再输入sx看下默认的处理行为都是怎么样的:

(Disabled)        发生该类异常时，调试器不会在第一次处理机会时中断(虽然会显示信息)。如果其他错误处理器没有处理掉该异常，执行会停止下来并中断到调试器。这种处理类型称为第二次处理机会。

(Notify)   当该异常发生时，目标程序不中断到调试器中。但是，会通过一条消息提示发生了异常。

果然断下来了，断在加载LPK.dll模块时，那么如果我们只想让它在加载SkinHgy.dll时断下来怎么办呢？需要介绍下ld了

对于每个异常Windows系统会最多给予两轮处理机会，对于每一轮机会Windows都会试图先分发给调试器，然后再寻找异常处理器（VEH、SEH等）。这样看来，对于每个异常，调试器最多可能收到两次处理机会，每次处理后调试器都应该向系统返回一个结果，说明它是否处理了这个异常。

对于第一轮异常处理机会，调试器通常是返回没有处理异常，然后让系统继续分发，交给程序中的异常处理器来处理。对于第二轮机会，如果调试器不处理，那么系统便会采取终极措施：如果异常发生在应用程序中，那么系统会启动应用程序错误报告过程并终止应用程序；如果发生在内核代码中，那么便启用蓝屏机制停止整个系统。所以对于第二轮处理机会，调试器通常是返回已经处理，让系统恢复程序执行，这通常会再次导致异常，又重新分发异常，如此循环。值得说明的是，对于断点异常和调试异常，调试器是在第一轮就返回已经处理的。

ld(load symbols)命令加载指定模块的符号并刷新所有模块信息。

可以包含通配符，这是个好消息

提示已加载，看来还是.reload好用啊。

那么接着１，我们来设置只在ld　skinhgy时断下来：

我们已经restart了，但ld的状态还没有变，所以WinDBG会自动把一些东西记录到工作空间（Workspace）里，因为工作空间是隐式管理的，所以容易让初用WinDBG的人摸不着头脑，像MJ说的那样操作一下，并且保存到工作空间中（结束调试时，WinDBG询问要不要保存工作空间时选YES），或者干脆删除工作空间就可以了，当然也可以写成

这样所有的Skin＊模块都会触发断点

指定一个当异常或事件发生时要执行的命令。该命令在异常的第一次处理机会时执行（也就是第一轮异常），不管该异常是否会中断到调试器。Cmd1 字符串必须包含在引号中。该字符串可以包含多条用分号分隔的命令。-c和括起来的命令字符串之间的空格是可选的。

指定当异常或事件发生并且没有在第一次处理机会被处理时执行的命令。该命令在异常的第二次处理机会时执行，（也就是第二轮异常），不管它是否会中断到调试器。Cmd2 字符串必须包含在引号中。该字符串可以包含多条用分号分隔的命令。-c2 和括起来的命令字符串之间的空格是可选的。

改变指定事件的处理状态而不是中断状态。如果Event 是cc、hc、bpec或ssec，-h 选项不是一定需要。

 比如我要在第一次加载SkinHgy.dll时断下来并打印ＭＳＧ:

这里介绍种ＧＵＩ使用的方法：

我们看到我们先前加载的SkinHgy.dll都在,事件(-c和-c2）对应Commands按钮来修改，中断状态可以通过"Execution"来修改,还可以通过Add和Remove来增加或删除异常码.

sxe Handled 执行返回时，事件被标识为已处理。

windbg帮助上写得很清楚了.

这两个很有用，今天在调程序时发现内存访问一直被断，用sxi av就行了，也就是忽视av这种状态