Windows調試學習筆記：（二）WinDBG調試.NET程序示例

　　好不容易把環境打好了，一定要試試牛刀。我創建了一個極其簡單的程序（如下）。讓我們期待會有好的結果吧，阿門！　　

using System;
using System.Collections.Generic;
using System.Linq;
using System.Text;

namespace ConsoleApplication1
{
    class Program
    {
        static void Main(string[] args)
        {
            int a;
            string str;

            a = 5;
            str = a.ToString();

            Console.WriteLine(str);
        }
    }
}

默認編譯成x86的輸出代碼，路徑是E:\Projects\Practise\ConsoleApplication1\ConsoleApplication1\bin\Debug。然后就開始調試的步驟了：

　　1、加載調試程序

　　啟動WinDBG以后，選擇“文件-選擇可執行文件。。。”，找到E:\Projects\Practise\ConsoleApplication1\ConsoleApplication1\bin\Debug目錄下的ConsoleApplication1.exe文件，單擊“打開”按鈕。這樣我們的調試目標程序已經打開了。

　　2、加載pdb文件

　　執行ld命令為ConsoleApplication1.exe程序集加載pdb文件:

0:000> ld ConsoleApplication1
*** WARNING: Unable to verify checksum for ConsoleApplication1.exe
Symbols loaded for ConsoleApplication1

　　3、加載SOS

基於以往失敗經驗，我們一開始就使用SXE命令:

0:000> sxe ld:clrjit
0:000> g
...
0:000> .loadby sos clr

　　4、設置斷點

我們是用BPMD命令設置斷點如下：

0:000> !bpmd ConsoleApplication1.exe ConsoleApplication1.Program.Main
Found 1 methods in module 00162ea4...
MethodDesc = 001637f8
Adding pending breakpoints...

　　5、檢查斷點是否停下來

輸入g讓被調試程序繼續執行，如果在斷點位置停下來了，就會顯示如下結果：

0:000> g
(6164.4fe0): CLR notification exception - code e0444143 (first chance)
JITTED ConsoleApplication1!ConsoleApplication1.Program.Main(System.String[])
Setting breakpoint: bp 00210070 [ConsoleApplication1.Program.Main(System.String[])]
Breakpoint 0 hit
eax=001637f8 ebx=00000000 ecx=0265ba00 edx=0035f150 esi=0060c7e0 edi=0035f0a0
eip=00210070 esp=0035f078 ebp=0035f084 iopl=0         nv up ei pl nz ac pe nc
cs=0023  ss=002b  ds=002b  es=002b  fs=0053  gs=002b             efl=00000216
00210070 55              push    ebp

　　6、檢查堆棧

使用!clrstack命令檢查堆棧，記得加上-a參數：

0:000> !clrstack -a
OS Thread Id: 0x4fe0 (0)
Child SP IP       Call Site
0035f078 00210070 ConsoleApplication1.Program.Main(System.String[]) [E:\Projects\Practise\ConsoleApplication1\ConsoleApplication1\Program.cs @ 11]
    PARAMETERS:
        args (<CLR reg>) = 0x0265ba00
    LOCALS:
        <no data>
        <no data>

0035f2a0 5dc321bb [GCFrame: 0035f2a0] 

這里已經能夠看到Main函數內部的一些情況了，比如args的地址。但是我們想看的a和str卻還沒有。這又兩個原因：1、它們不會顯示名字；2、它們還沒有被定義。

　　7、單步執行

不斷輸入p命令往下執行，並且不斷地檢查堆棧情況。我輸入9次以后出現了以下結果：

0:000> p
eax=00000000 ebx=00000000 ecx=0265ba00 edx=00000000 esi=0060c7e0 edi=0035f0a0
eip=00210091 esp=0035f064 ebp=0035f074 iopl=0         nv up ei pl zr na pe nc
cs=0023  ss=002b  ds=002b  es=002b  fs=0053  gs=002b             efl=00000246
00210091 90              nop
0:000> !clrstack -a
OS Thread Id: 0x4fe0 (0)
Child SP IP       Call Site
0035f064 00210091 ConsoleApplication1.Program.Main(System.String[]) [E:\Projects\Practise\ConsoleApplication1\ConsoleApplication1\Program.cs @ 11]
    PARAMETERS:
        args (0x0035f070) = 0x0265ba00
    LOCALS:
        0x0035f06c = 0x00000000
        0x0035f068 = 0x00000000

0035f2a0 5dc321bb [GCFrame: 0035f2a0] 

這里LOCALS:下面的兩個就是a和str，但是它們下載還是沒有值。又執行2次p命令以后，a的值已經顯示出來了：

0:000> !clrstack -a
OS Thread Id: 0x4fe0 (0)
Child SP IP       Call Site
0035f064 00210099 ConsoleApplication1.Program.Main(System.String[]) [E:\Projects\Practise\ConsoleApplication1\ConsoleApplication1\Program.cs @ 16]
    PARAMETERS:
        args (0x0035f070) = 0x0265ba00
    LOCALS:
        0x0035f06c = 0x00000005
        0x0035f068 = 0x00000000

0035f2a0 5dc321bb [GCFrame: 0035f2a0] 

繼續執行5次p命令之后，str的地址也顯示出來了：

0:000> !clrstack -a
OS Thread Id: 0x4fe0 (0)
Child SP IP       Call Site
0035f064 002100aa ConsoleApplication1.Program.Main(System.String[]) [E:\Projects\Practise\ConsoleApplication1\ConsoleApplication1\Program.cs @ 18]
    PARAMETERS:
        args (0x0035f070) = 0x0265ba00
    LOCALS:
        0x0035f06c = 0x00000005
        0x0035f068 = 0x0265c06c

0035f2a0 5dc321bb [GCFrame: 0035f2a0] 

　　8、查看引用類型成員

str的地址顯示出來以后，我們就可以使用!dumpobj命令來查看它的值以及其他信息了：

0:000> !dumpobj 0x0265c06c
Name:        System.String
MethodTable: 5d17fba0
EEClass:     5ceb8bb0
Size:        16(0x10) bytes
File:        C:\Windows\Microsoft.Net\assembly\GAC_32\mscorlib\v4.0_4.0.0.0__b77a5c561934e089\mscorlib.dll
String:      5
Fields:
      MT    Field   Offset                 Type VT     Attr    Value Name
5d182b6c  4000103        4         System.Int32  1 instance        1 m_stringLength
5d181fbc  4000104        8          System.Char  1 instance       35 m_firstChar
5d17fba0  4000105        8        System.String  0   shared   static Empty
    >> Domain:Value  005d4d00:02651228 <<

從中我們看到字符串的值為"5"，它的長度是1等等。

總結：

　　這里記錄的過於詳細了。但如果是初學的話，能夠亦步亦趨的把第一個程序“成功的”練習一下，也是莫大的成功；任何一步失敗，都可能讓你前功盡棄。Good Luck！