Windbg命令的语法规则系列(二)

标签：需要   添加   中断   并且   表达式计算   陷阱   说明   十进制   masm   

二、字符串通配符语法

一些调试器命令具有接受各种通配符的字符串参数。这些类型的参数支持以下语法功能：

0:000> r eax = @ebx

四、伪寄存器语法

调试器支持保存某些值的多个伪寄存器。调试器将自动伪寄存器设置为某些有用的值。用户定义的伪寄存器是可写入或读取的整数变量。所有伪寄存器都以美元符号（$）开头。如果使用MASM语法，可以在美元符号之前添加at符号（@）。这个at符号告诉调试器以下标记是寄存器或伪寄存器，而不是符号。如果省略了at符号，调试程序的响应会更慢，因为它必须搜索整个符号表。

例如，以下两个命令产生相同的输出，但第二个命令更快。

0:000> ? $exp
Evaluate expression: 143 = 0000008f
0:000> ? @$exp
Evaluate expression: 143 = 0000008f

如果存在与伪寄存器同名的符号，则必须添加at符号@。如果使用C++表达式语法，则总是需要at符号（@）。

 r（registers）命令是此规则的一个例外。调试器总是将其第一个参数解释为寄存器或伪寄存器。（不需要或不允许使用at符号@。）如果r命令有第二个参数，则根据默认表达式语法进行解释。如果默认表达式语法是C++，则必须使用以下命令将$T2伪寄存器复制到$T1伪寄存器。

0:000> r $t1 = @$t2

4.1、自动伪寄存器

调试器自动设置以下伪寄存器：

 一个包含结构的地址的伪寄存器（比如$线程）、$、$、$和$将根据C++表达式计算器中的适当数据类型进行评估，但不是在表达式求值器中。例如，命令？$teb显示teb的地址，而命令？？@$teb显示整个teb结构。有关详细信息，请参见计算表达式。在基于Itanium的处理器上，IIP寄存器是捆绑对齐的，这意味着它指向包含当前指令的捆绑中的插槽0，即使正在执行不同的插槽。所以IIP不是完整的指令指针。$IP伪寄存器是实际的指令指针，包括bundle和slot。其他持有地址指针的伪寄存器（$ra、$retreg、$eventip、$previp、$relip和$exentry）的结构与所有处理器上的$ip相同。

您可以使用r命令更改$ip的值。此更改也会自动更改相应的寄存器。当执行恢复时，它将恢复到新的指令指针地址。这个寄存器是唯一可以手动更改的自动伪寄存器。注意：在masm语法中，可以用句点（.）表示$ip伪寄存器。。在此期间之前不添加at符号（@），也不将该期间用作r命令的第一个参数。在C++表达式中不允许使用此语法。自动伪寄存器类似于自动别名。但是，可以将自动别名与别名相关的令牌（如$）一起使用，并且不能将伪寄存器与此类令牌一起使用

4.2、用户定义的伪寄存器

0:000> r $t0 = 7
0:000> r $t1 = 128*poi(MyVar)

0:000> bp $t3 
0:000> bp @$t4 
0:000> ?? @$t1 + 4*@$t2 

0:000> r? $t15 = * (UNICODE_STRING*) 0x12ffbc

kd> bp /t @$thread nt!ntopenfile

.if (@eax == 1234) { .echo 1234 } .else { t "$<eaxstep" }

接下来，发出以下命令。

t "$<eaxstep"

调试器执行一个步骤，然后运行您的命令。在这种情况下，调试器运行脚本，该脚本显示1234或重复该过程。

Windbg命令的语法规则系列(二)

标签：需要   添加   中断   并且   表达式计算   陷阱   说明   十进制   masm   

原文地址：https://www.cnblogs.com/yilang/p/11411467.html