Windbg寻找Managed Founction参数值

问题源自一个Seminar，如何使用Windbg找到在函数调用的时候，所传递的参数的值。

当使用live Debug模式attach到一个managed Process的时候，默认情况下并不显示函数内部之间的调用，这个时候，需要在这个函数没调用之间给下一个断点。

基于对一个托管函数下断点的两种方法，在上面一片文章里面已经讲过了，这里就显的容易多了。首先还是找上篇文章里面的程序作为例子：

class Program

{

static void Main(string[] args)

{

System.Console.WriteLine("Show Params in Windbg");

Program p = new Program();

p.ShowParams(123456, "TestParams", 'L');

System.Console.ReadLine();

}

public void ShowParams(int a, string b ,char c)

{

}

这里的目的，是把调用能够ShowParams这个方法的几个参数找到。如果使用live Debug的话，使用!Clrstack命令并不能得到这个结果：

0:000> !clrstack

OS Thread Id: 0x11a0 (0)

ESP EIP

0012f3e0 7c90eb94 [NDirectMethodFrameStandaloneCleanup: 0012f3e0]

System.IO.__ConsoleStream.ReadFile

(Microsoft.Win32.SafeHandles.SafeFileHandle, Byte*, Int32, Int32 ByRef, IntPtr)

0012f3fc 7948d2bb System.IO.__ConsoleStream.ReadFileNative

(Microsoft.Win32.SafeHandles.SafeFileHandle, Byte[], Int32, Int32, Int32, Int32 ByRef)

0012f428 7948d1ed System.IO.__ConsoleStream.Read(Byte[], Int32, Int32)

0012f448 793a3350 System.IO.StreamReader.ReadBuffer()

0012f458 793aaa2f System.IO.StreamReader.ReadLine()

0012f46c 79497b5a System.IO.TextReader+SyncTextReader.ReadLine()

0012f474 793e99f0 System.Console.ReadLine()

0012f478 00db00c7 FounctionParams.Program.Main(System.String[])

0012f69c 79e7c74b [GCFrame: 0012f69c]

可以看到，这里直接略过了函数内部的调用，从Main直接到了ReadLine()，而使用!Clrstack –p命令也是不能显示出内部函数调用的传递的参数的值的。

可以这样得到中间调用的函数传递的参数的值：

首先Dattach掉，然后加载Exe可执行模块，来进行动态调试：

0:000> sxe ld:mscorjit

0:000> g

ModLoad: 79060000 790b6000 C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\mscorjit.dll

eax=00000000 ebx=00000000 ecx=00d90000 edx=7c90eb94 esi=00000000 edi=00000000

eip=7c90eb94 esp=0012e554 ebp=0012e648 iopl=0 nv up ei ng nz ac pe nc

cs=001b ss=0023 ds=0023 es=0023 fs=003b gs=0000 efl=00000296

ntdll!KiFastSystemCallRet:

7c90eb94 c3 ret

这个时候可以加载SOS模块了，加载好了之后：

0:000> !thread

No export thread found

0:000> !threads

ThreadCount: 2

UnstartedThread: 0

BackgroundThread: 1

PendingThread: 0

DeadThread: 0

Hosted Runtime: no

PreEmptive GC Alloc

ID GC Context Domain Count APT Exception

0 1 Enabled 013f16d0:013f1fe8 0015c410 2 MTA

2 2 Enabled 00000000:00000000 0015c410 0 MTA (Finalizer)

好的，接下来dump domain：

0:000> !dumpdomain 0015c410

--------------------------------------

Domain 1: 0015c410

LowFrequencyHeap: 0015c434

HighFrequencyHeap: 0015c48c

StubHeap: 0015c4e4

Stage: OPEN

SecurityDescriptor: 0015d740

Name: FounctionParams.exe

Assembly: 0019f3f8

[C:\WINDOWS\assembly\GAC_32\mscorlib\2.0.0.0__b77a5c561934e089\mscorlib.dll]

ClassLoader: 0019f490

SecurityDescriptor: 0019be78

Module Name

790c2000

C:\WINDOWS\assembly\GAC_32\mscorlib\2.0.0.0__b77a5c561934e089\mscorlib.dll

Assembly: 001a6e80

[E:\myProject\FounctionParams\FounctionParams\bin\Debug\FounctionParams.exe]

ClassLoader: 001a6f18

SecurityDescriptor: 001a6db0

Module Name

00a82c3c

E:\myProject\FounctionParams\FounctionParams\bin\Debug\FounctionParams.exe

恩，接下来是module的信息：

0:000> !dumpmodule -mt 00a82c3c

Name: E:\myProject\FounctionParams\FounctionParams\bin\Debug\FounctionParams.exe

Attributes: PEFile

Assembly: 001a6e80

LoaderHeap: 00000000

TypeDefToMethodTableMap: 00a80038

TypeRefToMethodTableMap: 00a80040

MethodDefToDescMap: 00a8008c

FieldDefToDescMap: 00a8009c

MemberRefToDescMap: 00a800a0

FileReferencesMap: 00a800ec

AssemblyReferencesMap: 00a800f0

MetaData start address: 00402094 (1580 bytes)

Types defined in this module

MT TypeDef Name

------------------------------------------------------------------------------

00a83038 0x02000002 FounctionParams.Program

Types referenced in this module

MT TypeRef Name

------------------------------------------------------------------------------

790fd0f0 0x01000001 System.Object

好了，拿到MT了：

0:000> !dumpmt -md 00a83038

EEClass: 00a811d8

Module: 00a82c3c

Name: FounctionParams.Program

mdToken: 02000002 (E:\myProject\FounctionParams\FounctionParams\bin\Debug\FounctionParams.exe)

BaseSize: 0xc

ComponentSize: 0x0

Number of IFaces in IFaceMap: 0

Slots in VTable: 7

--------------------------------------

MethodDesc Table

Entry MethodDesc JIT Name

79371278 7914b928 PreJIT System.Object.ToString()

7936b3b0 7914b930 PreJIT System.Object.Equals(System.Object)

7936b3d0 7914b948 PreJIT System.Object.GetHashCode()

793624d0 7914b950 PreJIT System.Object.Finalize()

00a8c011 00a83020 NONE FounctionParams.Program.Main(System.String[])

00a8c015 00a83028 NONE FounctionParams.Program.ShowParams(Int32, System.String, Char)

00a8c019 00a83030 NONE FounctionParams.Program..ctor()

OK，看到希望了，可以下断点了：

0:000> !bpmd -md 00a83028

MethodDesc = 00a83028

Adding pending breakpoints...

OK,按以下F5，

0:000> g

(8b4.1574): CLR notification exception - code e0444143 (first chance)

JITTED FounctionParams!FounctionParams.Program.ShowParams(Int32, System.String, Char)

Setting breakpoint: bp 00DC0110 [FounctionParams.Program.ShowParams(Int32, System.String, Char)]

Breakpoint 1 hit

恩，可以查看调用堆栈了：

0:000> !clrstack

OS Thread Id: 0x1574 (0)

ESP EIP

0012f46c 00dc0110 FounctionParams.Program.ShowParams(Int32, System.String, Char)

0012f478 00dc00c0 FounctionParams.Program.Main(System.String[])

0012f69c 79e7c74b [GCFrame: 0012f69c]

查看参数：

0:000> !clrstack -p

OS Thread Id: 0x1574 (0)

ESP EIP

0012f46c 00dc0110 FounctionParams.Program.ShowParams(Int32, System.String, Char)

PARAMETERS:

this = 0x013f34ac

a = 0x0001e240

b = 0x013f170c

c = 0x0000004c

0012f478 00dc00c0 FounctionParams.Program.Main(System.String[])

PARAMETERS:

args = 0x013f16c0

0012f69c 79e7c74b [GCFrame: 0012f69c]

上面的蓝色的地方，分别显示了参变量a，b，c的值。A，C是值类型，对应的数值就是咱给的值。B是ref type，显示的是Heap上面的一个地址了。

恩，到这里吧，就到这里吧。如果有空还写一片，就结合K命令，还有EIP和ESP来查看参数的方法，这个比较值得说说，不过比较麻烦。^_^

Friday, October 17, 2008 7:03:07 PM

First Post at : http://sscli.cnblogs.com

posted on 2008-10-17 19:08 lbq1221119 阅读(2574) 评论(6) 编辑收藏举报

刷新页面返回顶部

lbq1221119

Windbg寻找Managed Founction参数值

导航

公告