蛙蛙推荐：windbg里查看DateTime值
蛙蛙推荐：windbg里查看DateTime值
我们都知道在windbg里可以用!do命令查看一个引用对象的详细信息，但像DateTime,Guid,IpAddress等并不能直接用windbg命令打印出来。
我们一个一个说，先创建一个console程序叫DateTimeTest，在属性页里启用非托管代码调试，代码如下
using System;
namespace DateTimeTest
{
class Program
{
static void Main(string[] args)
{
DateTime dt = DateTime.Now;
Console.WriteLine(dt);
Console.Read();
}
}
}
并在Console.Read();行上加入断点，F5启动调试程序，断点断住后，在即使窗口里输入如下命令
.load sos
已加载扩展 C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\sos.dll
!Name2EE *!System.DateTime
PDB symbol for mscorwks.dll not loaded
Module: 790c2000 (mscorlib.dll)
Token: 0x02000032
MethodTable: 79104b50
EEClass: 79104aec
Name: System.DateTime
--------------------------------------
Module: 00a9205c (sorttbls.nlp)
--------------------------------------
Module: 00a923cc (prcp.nlp)
--------------------------------------
Module: 00a927cc (mscorlib.resources.dll)
--------------------------------------
Module: 00a72c24 (DateTimeTest.exe)
!clrstack -a
OS Thread Id: 0xcd4 (3284)
ESP EIP
0012f434 011300d5 DateTimeTest.Program.Main(System.String[])
PARAMETERS:
args = 0x013e1b20
LOCALS:
0x0012f43c = 0x88f0476c
0012f69c 79e7be1b [GCFrame: 0012f69c]
!DumpVC 79104b50 0x0012f43c
Name: System.DateTime
MethodTable 79104b50
EEClass: 79104aec
Size: 16(0x10) bytes
(C:\WINDOWS\assembly\GAC_32\mscorlib\2.0.0.0__b77a5c561934e089\mscorlib.dll)
Fields:
MT Field Offset Type VT Attr Value Name
791042d4 40000f4 0 System.UInt64 0 instance 9856781253186963308 dateData
79122414 40000f0 30 System.Int32[] 0 shared static DaysToMonth365
>> Domain:Value 0014d3b0:013e1c78 <<
79122414 40000f1 34 System.Int32[] 0 shared static DaysToMonth366
>> Domain:Value 0014d3b0:013e1cb8 <<
79104b50 40000f2 28 System.DateTime 1 shared static MinValue
>> Domain:Value 0014d3b0:013e1c58 <<
79104b50 40000f3 2c System.DateTime 1 shared static MaxValue
>> Domain:Value 0014d3b0:013e1c68 <<
9856781253186963308这个值是一个ULong类型的，DateTime的构造函数不支持这个类型的重载，Convert.ToDateTime对这个参数的重载版本也是始终返回异常，然后看MSDN里对DateTime的说明
在 .NET Framework 2.0 版以前，DateTime 结构包含一个 64 位字段，该字段由一个未使用的 2 位字段和一个私有字段 Ticks 串联组成，Ticks 字段是一个 62 位无符号字段，其中包含表示日期和时间的刻度数。Ticks 字段的值可通过 Ticks 属性获取。
从 .NET Framework 2.0 开始，DateTime 结构包含一个由私有字段 Kind 和 Ticks 字段串联组成的 64 位字段。Kind 字段是一个 2 位字段，它指示 DateTime 结构是表示本地时间、协调通用时间 (UTC) 还是 UTC 和本地时间都未指定。Kind 字段用于处理本地时间和 UTC 时间之间的转换，但不用于时间的比较或算术运算。Kind 字段的值可通过 Kind 属性获取。
所以我们要把9856781253186963308这个值转换成2进制，然后把高位的2位换成零，然后在传入DateTime的构造函数里，具体代码如下
using System;
using System.IO;
namespace DateTimeTest
{
class Program
{
static void Main(string[] args)
{
MemoryStream ms = new MemoryStream();
BinaryWriter bw = new BinaryWriter(ms);
bw.Write(9856781253186963308UL);
byte[] bs = ms.ToArray();
bs[7] = (byte)(bs[7] & 63);
ms = new MemoryStream(bs);
BinaryReader br = new BinaryReader(ms);
Int64 i = br.ReadInt64();
Console.WriteLine(new DateTime(i));
Console.Read();
}
}
}
其中把第8个字节按位于上63就是把高位2位置0，因为63的二进制是00111111。
后来ReflectorDateTime的代码，发现.net里有一个类似的函数，只用以下代码就OK了
Console.WriteLine(new DateTime((long)(9856781253186963308UL & 0x3fffffffffffffffL)));
同理，IPAddress的代码如下
IPAddress ip = IPAddress.Parse("192.168.1.1");
windbg分析如下
!clrstack -a
OS Thread Id: 0x338 (824)
ESP EIP
0012f438 011300aa DateTimeTest.Program.Main(System.String[])
PARAMETERS:
args = 0x013e1b20
LOCALS:
0x0012f440 = 0x013e1d40
0012f69c 79e7be1b [GCFrame: 0012f69c]
!do 0x013e1d40
Name: System.Net.IPAddress
MethodTable: 7a77d078
EEClass: 7a7dc4f8
Size: 40(0x28) bytes
(C:\WINDOWS\assembly\GAC_MSIL\System\2.0.0.0__b77a5c561934e089\System.dll)
Fields:
MT Field Offset Type VT Attr Value Name
790fb9bc 400209c 4 System.Int64 0 instance 16885952 m_Address
790f9244 400209d 14 System.String 0 instance 013fd0e4 m_ToString
7a787ec0 40020a1 1c System.Int32 0 instance 2 m_Family
7912a84c 40020a2 18 System.UInt16[] 0 instance 013e1d68 m_Numbers
790fb9bc 40020a3 c System.Int64 0 instance 0 m_ScopeId
790fdb60 40020a4 20 System.Int32 0 instance 0 m_HashCode
7a77d078 4002098 7b4 System.Net.IPAddress 0 static 013fcef8 Any
7a77d078 4002099 7b8 System.Net.IPAddress 0 static 013fcf3c Loopback
7a77d078 400209a 7bc System.Net.IPAddress 0 static 013fcf80 Broadcast
7a77d078 400209b 7c0 System.Net.IPAddress 0 static 013fcf80 None
7a77d078 400209e 7c4 System.Net.IPAddress 0 static 013fcfe0 IPv6Any
7a77d078 400209f 7c8 System.Net.IPAddress 0 static 013fd040 IPv6Loopback
7a77d078 40020a0 7cc System.Net.IPAddress 0 static 013fd0a0 IPv6None
最终可用如下函数得到IP
private static string IntToIP(long ip_Int)
{
long num = ((ip_Int & 0xff000000L) >> 0x18);
if (num < 0L)
{
num += 0x100L;
}
long num2 = (ip_Int & 0xff0000L) >> 0x10;
if (num2 < 0L)
{
num2 += 0x100L;
}
long num3 = (ip_Int & 0xff00L) >> 8;
if (num3 < 0L)
{
num3 += 0x100L;
}
long num4 = ip_Int & 0xffL;
if (num4 < 0L)
{
num4 += 0x100L;
}
return (num4 + "." + num3 + "." + num2 + "." + num);
}
或者用以下语句（支持IPV6啥的）
Console.WriteLine(new IPAddress(16885952));
GUID类型dumpvc后是a到k的一串值，有int,short,byte的都有，你要一步一步的把值查出来，然后写一个程序传给System.Guid的构造函数，然后ToString()方法后才能看到,比较麻烦，如果能在windbg里动态执行某个对象的方法就好了，比如ToString()方法
