记一次有教益的内存碎片转储文件分析经历原总结调试windbgdmp内存碎片heap堆 前言 其实，这篇文章早在 2021 年就完成了初稿，后面一直没来得及完善（各种加班各种忙），所以一直没来得及整理发布。而且，我从这个案例里学到的东西太多了，很多内容并没有体现在本篇文章中，后续有机会一定会再
使用 IDA 和 windbg 调试 LNK1123 转换到 COFF 期间失败：文件无效或损坏（中）原总结排错process monitorvsIDAwindbg调试rcCVT1101LNK1123 前言 在 上一篇文章 中，我们总结了使用 windbg 和 IDA 找出 cvtres.exe 报错的根本原因，但是留下了几个细节问题。本篇文章就来把这几个细节问
使用 IDA 和 windbg 调试 LNK1123 转换到 COFF 期间失败：文件无效或损坏（下）原总结排错process monitorvsIDAwindbg调试rcCVT1101LNK1123 前言 在前面两篇文章中（这里，这里）总结了使用 windbg 和 IDA 找出 cvtres.exe 报错的根本原因，并把一些细节问题弄清楚了。但是还剩下一个小细节
1 背景工作多年，关于Windbg一直没有写过总结。为了以后查阅和方便分享，特写此文。windbg.exe的优点就是绿色，体积小，速度快，功能强大。对于测试环境可以很快的部署。一般情况，用windbg查死机非常方便。本文先介绍一下windbg常用的一些指令。为了不涉密，选中一款开源软件做为调试目标。2
项目线上出现了闪退问题，查看日志发现是 sentry 模块出问题了 因为用户电脑上没有 pdb 文件，所以无法加载具体函数的调用位置，只能手动去计算 具体步骤是：在 windbg.exe 中加载 sentry.dll 和 sentry.pdb 文件后 使用 lm 命令行拿到 sentry 模块的基地址 lm vm sentry 有了
无论是分析程序崩溃原因，还是解决程序hang问题，我们最常查看的就是程序调用堆栈。学会windbg调用堆栈命令，以及理解堆栈中的各个参数的意义就显得至关重要。 上图就是一个典型的Windbg堆栈，如果不理解ChildEBP、RetAddr、Args to Child等参数意义，以及它们之间的来龙去脉，调试工
windbg搭建双机调试环境 本人环境：主机win10+VM12 pro + 虚拟机Win10 总体建议：不要跳步骤，出现问题，最好是一步一步从头来过，看看自己有什么纰漏。 1.VM设置，给虚拟机添加串行端口 本来是这样的，默认有打印机。有就有吧，删不删除都行，因为打印机会占用串行端口1。 这里以不删除为例。 直
一：什么是时间旅行 简而言之就是把程序的执行流拍成vlog，这样就可以对 vlog 快进或者倒退，还可以分享给别人做进一步的分析，是不是想都不敢想。 很开心的是 windbg preview 版本中已经实现了，叫做 时间旅行调试 TTD，相比传统的 静态分析 不知道好多少倍。 为了能提起大家兴趣，我就举二个
目录串口方式#不推荐移除打印机添加串口设备配置串口执行bcdedit 命令（管理员权限）配置windbg网络方式#推荐执行bcdedit 命令（管理员权限）配置windbg 串口方式#不推荐 移除打印机 添加串口设备 配置串口 \.\pipe\com_1 执行bcdedit 命令（管理员权限） bcdedit /set “{current}” b
.printf的行为跟C语言的printf函数类似。 语法 .printf [/D] [Option] "FormatString" [, Argument , ...] 参数 /D 指定格式字符串包含调试器标记语言（DML）。 Option 指定WinDbg应将FormatString解释为的文本消息类型。WinDbg为每种类型的调试器命令窗口消息分配背景和
!teb 简介 !teb扩展显示线程环境块（teb）中信息的格式化视图。 使用形式 !teb [TEB-Address] 参数 TEB-Address 要检查其TEB的线程的十六进制地址。（这不是从线程的内核线程块派生的TEB地址。）如果在用户模式中省略了TEB地址，则使用当前线程的TEB。如果在内核模式下省略，则显示与当前寄
命令dds, dps, dqs显示给定范围内的内存内容。假定该内存是符号表中的一系列地址。相应的符号也会显示出来。 1 2 3 dds [Options] [Range] dqs [Options] [Range] dps [Options] [Range] 参数： Options指定一个或多个显示选项。可以包括以下任何选项，但不能指
!heap 简介 !heap扩展显示堆使用信息、控制堆管理器中的断点、检测泄漏的堆块、搜索堆块或显示页堆信息。此扩展支持段堆和NT堆。使用!heap没有参数列出所有堆及其类型的堆。 使用形式 !heap [HeapOptions] [ValidationOptions] [Heap] !heap -b [{alloc|realloc|free} [Tag]] [
当我们调试时，某些情况下，我们需要专门针对crt堆进行分析，但，我们知道进程里可能有多个堆，比如 你说哪个是crt堆？ 如果你跟踪过crt的代码，那么这个问题就好办了，crt堆是通过msvcrt!_heap_init来分配初始化的，在_heap_init里把crt堆的句柄给了变量_crtheap，所以我们只要看这个变量的值即
重要 (1) windbg命令分为标准命令（40个左右），元命令（一百多个）和扩展命令。 标准命令提供最基本的调试功能，不区分大小写。如：bp g dt dv k等 元命令提供标准命令没有提供的功能，也内建在调试引擎中，以.开头。如.sympath .reload等 扩展命令用于扩展某一方面的调试功能，实现在动态
大家好，我是本期的微软 MVP 实验室研究员——冯辉。本篇文章主要介绍如何利用Windbg分析应用进程中的内存问题，从托管堆到非托管堆的探索以及到内存的分配，接下来我们一起来探索吧。 近期有几位朋友使用我们的Magicodes.IE反馈在导出过程中内存暴涨，接下来我们通过Windbg来看一下什
c盘目录关闭系统隐藏文件 编辑 boot文件 后面加上 multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="XP[debug]" /debug /debugport=com1 /noexecute=optin /fastdetect 保存让后关机，编辑虚拟机 删除打印机，添加串行端口 管道名可以任意 但必
一、脚本 X86环境 1 aS ufLinkS "<u><col fg=\\\"emphfg\\\"><link name=\\\"%p\\\" cmd=\\\"uf 0x%p\\\">"; 2 aS ufLinkE "</link></col></u>"; 3 4 r $t1
文章目录 1、搭建环境1.1 测试程序1.2 设置pdb路径和源码路径 2、定位2.1 运行程序2.2 分析2.2.1 查看一下堆栈分配情况 1、搭建环境 1.1 测试程序 这里的测试程序是很简单的那种，凑合着用吧 #include "stdafx.h" void LeakMem() { while (true) { char *pTest =
windbg的dt指令可以用来显示变量的结构和值，如果是一个C++类，那么它将以偏移的形式显示类里的成员地址和符号名。那类里的静态成员呢？如下： 可知，静态成员以=符号开始，紧跟地址、符号名和值。
由于Qt自带了mingw的环境，基本上是一步到位的，下面着重介绍的是msvc版本的Qt和安卓开发环境搭建。图文并茂。 1 开始搭建 1.1 Qt MSVC环境搭建 很多小伙伴在安装好Qt MSVC后发现还不能正常的如Mingw那样直接写程序来编译运行，因为会报错，可能启动的时候就会提示错误，不管报什么错
本文无图，只提供一个思路，算是这两天处理问题的一个心得，供参考。 最近两天工作中出现了一个非必现的BUG ，由于是内部使用的PE文件，每次测试都需要签名，如果DEBUG模式会非常麻烦，因此采用分析dump信息的方式。 （VS程序怎么生成dump，搜一下配置即可） 用WinDbg 打开 dump文件（再搜，有非常多的
windbg命令分为标准命令，元命令和扩展命令 标准命令提供最基本的调试功能，不区分大小写。如：bp g dt dv k等元命令提供标准命令没有提供的功能，也内建在调试引擎中，以.开头。如.sympath .reload等扩展命令用于扩展某一方面的调试功能，实现在动态加载的扩展模块中，以!开头。如!analyze等
由于.net异常与任何其他异常一样是一个.net对象，因此当您（或您调用的某些代码）调用new XXException()时，它会存储在GC堆中。这意味着，如果您有一个进程的内存转储，您可以转储所有最近发生的异常，或者更确切地说，所有尚未被垃圾收集的异常。 如果您在windbg中加载了sos（.loadby sos mscorwks
#命令在反汇编代码里根据指定模式进行搜索。 语法 # [Pattern] [Address [ L Size ]] 参数 Pattern 指定要在反汇编代码中搜索的模式。模式可以包含各种通配符和说明符。如果要在模式中包含空格，则必须用引号将模式括起来。该模式不区分大小写。如果您以前使用过#命令并且省略了模
