Files

baradok609hecl1pq6qi da24c2bd20 reverse-skills-max: initial public release (restored, redacted, hardened)

2026-10-20 02:17:15 +03:00

6.2 KiB

Raw Permalink Blame History

WinDbg 命令速查与操作序列

WinDbg 命令三类：普通命令（.exr/g/r，点开头）、扩展命令（!analyze/!process，叹号开头、来自扩展 DLL）、伪寄存器（$<名>）。符号语法 模块!符号（nt!KeWaitForSingleObject）。官方参考: Microsoft Learn 调试器命令参考（debuggercmds）。

命令族速查

会话与运行

windbg -p <pid> / windbg <exe>；-g 跳过初始断点；-z <dump> 打开 dump；-k 内核调试连接
g 继续；gh/gn 继续（异常交给程序/忽略）；Ctrl+Break 中断；q 退出
.restart 重启目标；.detach 脱离；.kill 终止

断点

bp <模块!符号|地址>；bu <符号> 未解析符号断点（模块加载后自动生效——目标 DLL 未加载时首选）
bm <通配> 批量断点（如 bm nt!Io*）；bl 列表；bd/be 禁用/启用；bc * 清空
条件断点: bp addr ".if (rax==0) { } .else { gc }"——不满足条件自动继续
命令断点: bp addr "r; k; gc" 命中时执行命令后继续（日志式观察）

单步与栈

p 步过；t 步入；pa <addr> 步过到地址；ta <addr> 步入到地址；gu 执行到返回；pt 执行到 call 返回
k / kb / kv 栈回溯（参数/符号帧）；kn 带帧号；dps rsp 按指针看栈内容
.frame <n> 切栈帧；.ecxr 设异常上下文（dump 分析开局）；.exr <addr> 显示异常记录；.cxr <addr> 手动设上下文

寄存器与内存

r / r rax / r eax=0；r $t0=... 伪寄存器（脚本临时变量）
db/dd/dq/du 读内存（字节/双字/四字/Unicode）；dps 按指针解释
eb/ed 写内存（eb 0x401000 90）；u <addr> 反汇编（u 地址 L数量）
搜索: s -d 0x0 L?10000000 0xdeadbeef（值）、s -a 0x0 L?10000000 "text"（ASCII 字符串）——在进程虚拟地址空间找常量/串
内存映射: !address <addr> 区域信息（权限/映射）；!vad 用户态 VAD 树

符号

.sympath srv*C:\symbols*https://msdl.microsoft.com/download/symbols；.symfix 用默认符号服务器
.reload /f [模块] 强制重载符号；lm/lmv m <模块>/lmi <模块> 模块与镜像信息
x <模块>!*<关键字>* 搜索符号（如 x nt!*ExAlloc*）

扩展命令（常用子集）

崩溃: !analyze -v（EXCEPTION_CODE/FAULTING_IP/STACK_TEXT/PROCESS_NAME）
进程/线程: !process 0 0；!process <EPROCESS> 1；!thread；!teb；!peb
句柄/堆: !handle <句柄>；!heap -a；!pool <地址>（内核池块）
内核对象: !object <地址>；!devobj/!drvobj（设备/驱动对象）；!irp <地址>；!stacks 0（全栈汇总）
其他: !dlls（进程模块树）、!runaway（线程 CPU 时间）、!locks（锁）

dump 与转储

用户态全量: .dump /ma C:\x.dmp（含句柄/内存，取证标准）；.dump /f（full）
内核: 目标机 %SystemRoot%\Minidump\*.dmp（小转储）；完全 dump 需配置内核 dump 设置
.writemem <文件> <起> <止> 导出内存区段；.readmem 读回

TTD（时间旅行调试，需管理员）

录制: ttd.exe -out C:\traces target.exe args；ttd.exe -attach <pid> -out ...；-monitor <名>；-ring（环形 2GB 上限）
打开: WinDbg File > Open 选 .run；索引: !tt.index（首次慢，之后快）
回放: g- 往回跑；t-/p- 往回单步；!tt 50 跳百分比；!tt 位置 跳 事件:步数
断点: !tt br <寄存器> [值]（值变化处停，br- 往回找）；!tt bm <地址范围>（内存访问处停）
数据模型: dx @$cursession.TTD.Calls("模块!函数")；dx @$cursession.TTD.Memory(起, 止, "rwec")（内存访问记录）
ttd.exe -stop all 停止所有录制；-help 全参数

常用操作序列（组合套路）

1. 崩溃 dump 分析（minidump 标准开局）

windbg -z C:\dump.dmp
.sympath srv*C:\symbols*https://msdl.microsoft.com/download/symbols; .reload /f
.ecxr                    # 异常上下文设现场（WER dump 的当前上下文在 WerpReportFault 里不可信）
k                        # 真实栈回溯
!analyze -v              # 自动化分析：FAULTING_IP / STACK_TEXT 逐帧核对

2. 校验绕过（断 API → 改返回 → 继续）

windbg 目标.exe（-g 可跳过初始断点）
bp kernel32!CreateFileW          # 或目标校验 API
g → 命中后:
r rax=0                          # 改返回值
gu; g                            # 出函数后继续

3. 驱动/内核模块符号与深度分析

!process 0 0 → 找目标进程 EPROCESS
.process /p <EPROCESS>; .reload /f
lmv m <驱动名>                    # 基址/版本/路径
bp <驱动名>!<函数>                # 驱动内符号断点
!analyze -v（内核崩溃时出 bugcheck + 故障驱动）

4. TTD 录制 → 回放找解密/校验点

ttd.exe -out C:\traces target.exe       # 管理员命令行录制
WinDbg 打开 .run → !tt.index
dx @$cursession.TTD.Calls("模块!可疑函数")   # 看调用次数/参数分布
!tt br <寄存器> → 定位值变化点 → 前向/后向单步看上下文

5. 栈损坏现场恢复（live 会话）

命中崩溃 → .exr <EXCEPTION_RECORD 地址>（!analyze -v 的 STACK_TEXT 里取）
.cxr <CONTEXT 地址> → k → kv

实现教训（内化）

!analyze -v 是起点不是终点——STACK_TEXT 后必须 .ecxr + k 手工核对真实调用链
符号未加载时一切输出都是裸偏移——先 .symfix + .reload /f，断点用 bu（未解析也可设）
条件断点用 .if/.else + gc 语法（不是 gdb 的 if 后缀）；命令断点实现日志式观察不中断
s 搜索在用户态可用 L?<范围>；内核态地址空间搜索量大，先缩小范围
TTD 的 !tt bm/br 是「找内存/寄存器事件」的利器——比反复重跑目标快得多
栈损坏场景 .ecxr/.cxr 是唯一可靠回溯路径，别信 k 的直接输出

使用注意

全部在沙箱内执行（re-analyze/platform-tips 最高原则）；attach/内核调试需管理员权限
结论写 re-analyze/analysis-contract；dump 产物 sha256 与 re-triage 初勘值对照；驱动场景配合 re-kernel

6.2 KiB Raw Permalink Blame History Unescape Escape