Basic Windbg - 2 CLR基础
调整一下写的思路，第一部分的sos basics继续有效，原定的crash/hang/memory等，序号顺延，中间插入这个clr basics
创建一个控制台程序，代码如下：
Code
using System;
using System.Collections.Generic;
using System.Text;
namespace HelloWindbg
{
class Program
{
static void Main(string[] args)
{
Console.WriteLine(\Hello, windbg!\);
Console.ReadLine();
}
}
}
在IDE中，按Ctrl+F5运行，等到显示出来\Hello, windbg!”之后（不要按回车），启动windbg，在窗口中按F6，此时出现一个process list窗口，向下找，找到这个hellowindbg.exe进程（名字是你project编译后的exe名字，不一定与我这个相同），然后点OK确定。此时windbg会显示类似信息：
(1270.11c4): Break instruction exception - code 80000003 (first chance)
eax=7ffdc000 ebx=00000000 ecx=00000000 edx=7786d094 esi=00000000 edi=00000000
eip=77827dfe esp=01bffbcc ebp=01bffbf8 iopl=0 nv up ei pl zr na pe nc
cs=001b ss=0023 ds=0023 es=0023 fs=003b gs=0000 efl=00000246
ntdll!DbgBreakPoint:
77827dfe cc int 3
这时候，加载sos扩展，命令如下：.load clr20\sos.dll
好了，可以干活了！
首先看第一个命令，!dumpdomain，运行后，我们得到如下类似结果：
0:003> !dumpdomain
--------------------------------------
System Domain: 7a3bc8b8
LowFrequencyHeap: 7a3bc8dc
HighFrequencyHeap: 7a3bc934
StubHeap: 7a3bc98c
Stage: OPEN
Name: None
--------------------------------------
Shared Domain: 7a3bc560
LowFrequencyHeap: 7a3bc584
HighFrequencyHeap: 7a3bc5dc
StubHeap: 7a3bc634
Stage: OPEN
Name: None
Assembly: 003b9368
--------------------------------------
Domain 1: 00374ec0
LowFrequencyHeap: 00374ee4
HighFrequencyHeap: 00374f3c
StubHeap: 00374f94
Stage: OPEN
SecurityDescriptor: 00376420
Name: HelloWindbg.exe
Assembly: 003b9368 [C:\Windows\assembly\GAC_32\mscorlib\2.0.0.0__b77a5c561934e089\mscorlib.dll]
ClassLoader: 0036cd88
SecurityDescriptor: 003ae6e8
Module Name
790c2000 C:\Windows\assembly\GAC_32\mscorlib\2.0.0.0__b77a5c561934e089\mscorlib.dll
001b239c C:\Windows\assembly\GAC_32\mscorlib\2.0.0.0__b77a5c561934e089\sortkey.nlp
001b2010 C:\Windows\assembly\GAC_32\mscorlib\2.0.0.0__b77a5c561934e089\sorttbls.nlp
Assembly: 003cab78 [C:\Users\charju\Documents\Visual Studio 2008\Projects\Windbg\HelloWindbg\HelloWindbg\bin\Debug\HelloWindbg.exe]
ClassLoader: 0036ced8
SecurityDescriptor: 003caaf0
Module Name
00192d8c C:\Users\charju\Documents\Visual Studio 2008\Projects\Windbg\HelloWindbg\HelloWindbg\bin\Debug\HelloWindbg.exe
对于上面的结果，我们有几个重要发现：
1、.net app默认情况下，会有三个AppDomain，其中分别是System Domain，Shared Domain和应用程序自己的Application Domain（就是上面的Domain 1）。
2、一个domain内包含了一个或若干个assembly
对于每个具体的domain，都可以用!dumpdomain <domain assress>来看。比如这里的app domain，可以执行命令：!dumpdomain 00374ec0，结果就不贴了，和上面的显示是一致的。
这个app domain里面我们看到，包含了两个assembly，分别是mscorlib.dll和hellowindbg.exe，前者包含了3个module，后者包含了1个module。这里我们看hellowindbg.exe的信息，对于mscorlib.dll，大家可以依据下面步骤做练习。
看assmebly信息，命令式：!dumpassembly <assembly address>，so，我们执行：!dumpassembly 003cab78（这个地址是上面的蓝色的那个数字），得到类似信息：
Parent Domain: 00374ec0
Name: C:\Users\charju\Documents\Visual Studio 2008\Projects\Windbg\HelloWindbg\HelloWindbg\bin\Debug\HelloWindbg.exe
ClassLoader: 0036ced8
SecurityDescriptor: 018c4448
Module Name
00192d8c C:\Users\charju\Documents\Visual Studio 2008\Projects\Windbg\HelloWindbg\HelloWindbg\bin\Debug\HelloWindbg.exe
这里有几个地方可以注意：
1、assembly包含了指向domain的信息，上面的：00374ec0
2、assembly包含了一个或者若干个module。
这里只有一个module，我们继续看module里面包含啥，结果从略（我们这里不关心它）。
命令!dumpmodule有一个有用的开关，是-mt <mt address>，我们跑一下看看：!dumpmodule -mt 1caa50
0:003> !dumpmodule -mt 00192d8c
Name: C:\Users\charju\Documents\Visual Studio 2008\Projects\Windbg\HelloWindbg\HelloWindbg\bin\Debug\HelloWindbg.exe
Attributes: PEFile
Assembly: 003cab78
LoaderHeap: 00000000
TypeDefToMethodTableMap: 00190148
TypeRefToMethodTableMap: 00190150
MethodDefToDescMap: 0019019c
FieldDefToDescMap: 001901a8
MemberRefToDescMap: 001901ac
FileReferencesMap: 001901f8
AssemblyReferencesMap: 001901fc
MetaData start address: 000b206c (1456 bytes)
Types defined in this module
MT TypeDef Name
------------------------------------------------------------------------------
00193180 0x02000002 HelloWindbg.Program
Types referenced in this module
MT TypeRef Name
------------------------------------------------------------------------------
790fd0f0 0x01000001 System.Object
79101118 0x01000012 System.Console
我们能发现两个重要的东西：
1、这个module里面包含的types，这里是我们的程序主入口点：HelloWindbg.Program
2、这个module引用的types，这里是object和Console
看上面的HelloWindbg.Program，这个type对应的MethodTable地址是：00193180。我们可以继续看这个MethodTable包含啥东西：
0:003> !dumpmt 00193180
EEClass: 001912e4
Module: 00192d8c
Name: HelloWindbg.Program
mdToken: 02000002 (C:\Users\charju\Documents\Visual Studio 2008\Projects\Windbg\HelloWindbg\HelloWindbg\bin\Debug\HelloWindbg.exe)
BaseSize: 0xc
ComponentSize: 0x0
Number of IFaces in IFaceMap: 0
Slots in VTable: 6
这里有一些重要的东西可以看：
1、EEClass，可以通过!dumpclass <class address>来查看这个class的信息。如：!dumpclass 001912e4
2、包含了Module和name等信息
3、包含了Method Description 信息
4、VTable里面的slots一共6个。
MethodTable只是一个入口表，它实际指向了一堆Method Description，那么我们可以用!dumpmt继续来查看，只不过参数要修改一下：!dumpmt -md 00193180
0:003> !dumpmt -md 00193180
EEClass: 001912e4
Module: 00192d8c
Name: HelloWindbg.Program
mdToken: 02000002 (C:\Users\charju\Documents\Visual Studio 2008\Projects\Windbg\HelloWindbg\HelloWindbg\bin\Debug\HelloWindbg.exe)
BaseSize: 0xc
ComponentSize: 0x0
Number of IFaces in IFaceMap: 0
Slots in VTable: 6
--------------------------------------
MethodDesc Table
Entry MethodDesc JIT Name
79371278 7914b928 PreJIT System.Object.ToString()
7936b3b0 7914b930 PreJIT System.Object.Equals(System.Object)
7936b3d0 7914b948 PreJIT System.Object.GetHashCode()
793624d0 7914b950 PreJIT System.Object.Finalize()
00330070 00193170 JIT HelloWindbg.Program.Main(System.String[])
0019c01c 00193178 NONE HelloWindbg.Program..ctor()
注意---------------------以上的部分，和我们不加-md参数效果是一样的，下面多出来了6个method description的信息，这就是那个Slots in VTable:6里面的6
对于每个方法，上表有一列JIT指明了CLR是否已经对该方法进行了compile动作。上面有一个方法是JIT过了，是那个Main函数，另外的4个CLR已经预先做了JIT（为什么？想想GAC和NGEN.EXE）。那么对于具体的方法是否做过了JIT，我们可以用命令：!dumpmd来看，比如看上面的Main方法，那么!dumpmd 00193170
0:003> !dumpmd 00193170
Method Name: HelloWindbg.Program.Main(System.String[])
Class: 001912e4
MethodTable: 00193180
mdToken: 06000001
Module: 00192d8c
IsJitted: yes
m_CodeOrIL: 00330070 text here
上面最重要的结果就是有一个IsJitted的标志，这里是yes，表明它已经被compile过了，对于compile之后的native code，我们就可以用命令!u <m_codeoril>来观察。下命令：!u 00330070，如下代码：
0:003> !u 00330070
Normal JIT generated code
HelloWindbg.Program.Main(System.String[])
Begin 00330070, size 28
>>> 00330070 50 push eax
00330071 890c24 mov dword ptr [esp],ecx
00330074 833d582f190000 cmp dword ptr ds:[192F58h],0
0033007b 7405 je HelloWindbg!HelloWindbg.Program.Main(System.String[])+0x12 (00330082)
0033007d e8c582df79 call mscorwks!JIT_DbgIsJustMyCode (7a128347)
00330082 90 nop
00330083 8b0d4030d602 mov ecx,dword ptr ds:[2D63040h] (\Hello, windbg!\)
00330089 e8c69c0b79 call mscorlib_ni!System.Console.WriteLine(System.String) (793e9d54)
0033008e 90 nop
0033008f e850990b79 call mscorlib_ni!System.Console.ReadLine() (793e99e4)
00330094 90 nop
00330095 90 nop
00330096 59 pop ecx
00330097 c3 ret
类似的，我们可以!dumpmd 00193178，看到该方法并没有被compile（现在）,native code自然也没有生成：
0:003> !dumpmd 00193178
Method Name: HelloWindbg.Program..ctor()
Class: 001912e4
MethodTable: 00193180
mdToken: 06000002
Module: 00192d8c
IsJitted: no
m_CodeOrIL: ffffffff
好了，对于appdomain/assembly/module/method table(class)/method description，这里做了一个简单的research，我们看点别的。
0:000> !clrstack
OS Thread Id: 0x12d0 (0)
ESP EIP
002bf148 77839a94 [NDirectMethodFrameStandaloneCleanup: 002bf148] System.IO.__ConsoleStream.ReadFile(Microsoft.Win32.SafeHandles.SafeFileHandle, Byte*, Int32, Int32 ByRef, IntPtr)
002bf164 7948d2bb System.IO.__ConsoleStream.ReadFileNative(Microsoft.Win32.SafeHandles.SafeFileHandle, Byte[], Int32, Int32, Int32, Int32 ByRef)
002bf190 7948d1ed System.IO.__ConsoleStream.Read(Byte[], Int32, Int32)
002bf1b0 793a3350 System.IO.StreamReader.ReadBuffer()
002bf1c0 793aaa2f System.IO.StreamReader.ReadLine()
002bf1d4 79497b5a System.IO.TextReader+SyncTextReader.ReadLine()
002bf1dc 793e99f0 System.Console.ReadLine()
002bf1e0 00330094 HelloWindbg.Program.Main(System.String[])
002bf404 79e7c74b [GCFrame: 002bf404]
这里列出来的都是一些name，比如说我想看StreamReader里面有哪些方法，怎么看呢？
1、转换：用命令!name2ee <modulename>!<type or method name>。那么，module name是什么呢？我们要用lm来看一眼，加上一点clr的知识：
0:000> lm
start end module name
000b0000 000b8000 HelloWindbg C (private pdb symbols) C:\Users\charju\Documents\Visual Studio 2008\Projects\Windbg\HelloWindbg\HelloWindbg\bin\Debug\HelloWindbg.pdb
75070000 7520e000 comctl32 (deferred)
75310000 753ab000 MSVCR80 (deferred)
761f0000 762cb000 KERNEL32 (pdb symbols) c:\symcache\kernel32.pdb\093FA0AF6A7B4CE9B12506584036EC882\kernel32.pdb
762d0000 76328000 SHLWAPI (deferred)
764b0000 7654d000 USER32 (deferred)
76610000 7662e000 IMM32 (deferred)
766c0000 7676a000 msvcrt (deferred)
76770000 767bb000 GDI32 (deferred)
767c0000 76883000 RPCRT4 (deferred)
76890000 76956000 ADVAPI32 (deferred)
76ab0000 775bf000 shell32 (deferred)
775c0000 77688000 MSCTF (deferred)
77690000 777d4000 ole32 (deferred)
777e0000 77907000 ntdll (pdb symbols) c:\symcache\ntdll.pdb\B958B2F91A5A46B889DAFAB4D140CF252\ntdll.pdb
77910000 77919000 LPK (deferred)
779c0000 77a3d000 USP10 (deferred)
79000000 79046000 mscoree (pdb symbols) c:\symcache\mscoree.pdb\B3B672BC69034D0F8EF2A40525E64BDE2\mscoree.pdb
79060000 790b6000 mscorjit (deferred)
790c0000 79bf6000 mscorlib_ni C (pdb symbols) c:\symcache\mscorlib.pdb\446AC27A973142A6900EEAF1E9EC50451\mscorlib.pdb
79e70000 7a3ff000 mscorwks (pdb symbols) c:\symcache\mscorwks.pdb\8BDE5914A40043B3BCC3E7F49A6C29D22\mscorwks.pdb
最终决定用这个命令：!name2ee mscorlib_ni!System.IO.StreamReader.ReadBuffer，得到下面结果：
Module: 790c2000 (mscorlib.dll)
Token: 0x06003622
MethodDesc: 7926c0a0
Name: System.IO.StreamReader.ReadBuffer()
JITTED Code Address: 793a32f4
-----------------------
Token: 0x06003623
MethodDesc: 7926c0a8
Name: System.IO.StreamReader.ReadBuffer(Char[], Int32, Int32, Boolean ByRef)
JITTED Code Address: 79498020
好了，可以走第二步了，因为上面已经拿到了Method Description的地址了，跑：!dumpmd 7926c0a0，如下：
0:000> !dumpmd 7926c0a0
Method Name: System.IO.StreamReader.ReadBuffer()
Class: 7911b210
MethodTable: 7911b288
mdToken: 06003622
Module: 790c2000
IsJitted: yes
m_CodeOrIL: 793a32f4
看到了上面的Method table地址了没？用!dumpmt -md 7911b288，可以得到这个class的所有method信息（结果从略，大家做练习吧！）
（累死我了。。。园子这个post编辑上工具条上的Insert Layer，不好用。结构都乱了！只好重新修改一次）
