WinDbg常用命令系列---!address

标签：abc   lsp   debugger   输出   之一   guard   stat   开始   参数   

!address

这个!address扩展命令显示有关目标进程或目标计算机使用的内存的信息。

用户模式：

!address Address
!address -summary 
!address [-f:F1,F2,...] {[-o:{csv | tsv | 1}] | [-c:"Command"]}
!address -? | -help

内核模式：

!address Address 
!address

参数：

• Address
  仅显示包含地址的地址空间区域。
• -summary
  仅显示摘要信息。
• -f:F1, F2, ...
  仅显示由筛选器f1、f2等指定的区域。
  以下筛选器值通过目标进程使用内存区域的方式指定内存区域。
  

  筛选器值	显示的内存区域
  VAR	繁忙地区。这些区域包括所有虚拟分配块、sbh堆、来自自定义分配程序的内存以及地址空间中不属于其他分类的所有其他区域。
  Free	自由内存。这包括所有尚未保留的内存。
  Image	映射到作为可执行映像一部分的文件的内存。
  Stack	用于线程堆栈的内存。
  Teb	用于线程环境块 (Teb) 的内存。
  Peb	使用进程环境块 (PEB) 内存。
  Heap	使用的堆内存量。
  PageHeap	用于在整页堆的内存区域。
  CSR	CSR 共享内存。
  Actx	用于激活上下文数据的内存。
  NLS	用于区域语言支持 (NLS) 的表的内存。
  FileMap	内存映射文件使用的内存。 此筛选器仅在实时调试过程才适用。

  
  以下筛选值按内存类型指定内存区域。
  

  筛选器值	显示的内存区域
  MEM_IMAGE	映射到可执行映像的一部分的文件的内存。
  MEM_MAPPED	映射到不是可执行映像的一部分的文件的内存。 这包括映射到分页文件的内存。
  MEM_PRIVATE	专用内存。 此内存不共享任何其他进程和未映射到任何文件。

  
  下列筛选值根据内存的状态指定内存区域。
  

  筛选器值	显示的内存区域
  MEM_COMMIT	提交的内存。
  MEM_FREE	可用内存。 这包括所有未保留的内存。
  MEM_RESERVE	保留的内存。

  
  以下筛选值通过应用于内存的保护指定内存区域。
  

  筛选器值	显示的内存区域
  PAGE_NOACCESS	不能访问的内存。
  PAGE_READONLY	是可读，但不可写且非可执行的内存。
  PAGE_READWRITE	是可读和可写的但非可执行的内存。
  PAGE_WRITECOPY	已写入时复制行为的内存。
  PAGE_EXECUTE	是可执行文件，但不可读和不可写入的内存。
  PAGE_EXECUTE_READ	是可执行文件和可读，但不可写的内存。
  PAGE_EXECUTE_READWRITE	是可执行文件、 可读，并且必须可写内存。
  PAGE_EXECUTE_WRITECOPY	它是可执行文件并具有写入时复制行为的内存。
  PAGE_GUARD	充当一个保护页的内存。
  PAGE_NOCACHE	未缓存的内存。
  PAGE_WRITECOMBINE	已启用的写入-将访问的内存。

• -o:{csv | tsv | 1}
  根据以下选项之一显示输出。
  

  Option	输出格式
  csv	以逗号分隔值的形式显示输出。
  tsv	以制表符分隔值的形式显示输出。
  1	裸机格式显示输出。 此格式的工作以及当!address用作输入 .foreach。

• -c:"Command"
  为每个内存区域执行自定义命令。您可以在命令中使用以下占位符来表示输出字段!address地址扩展命令。
  

  占位符	输出字段
  %1	基址
  %2	结束地址 + 1
  %3	区域大小
  %4	在任务栏的搜索框中键入
  %5	状态
  %6	保护
  %7	用法

  例如，!address -f:Heap -c:".echo %1 %3 %5"基址、 大小和类型的每个内存区域的状态将显示堆。

  在命令中的引号必须加反斜杠 (\")。 例如，！ 地址-f： 堆-c:"s-a %1 %2 \"pad\""中搜索类型的每个内存区域堆"板"的字符串。

  不支持多个命令之间用分号分隔。
• -?
  在调试器命令窗口中显示此扩展的最小帮助文本。

DLL:

没有任何参数!address显示有关整个地址空间的信息。这个!address -summary命令只显示摘要。在内核模式下，此扩展只搜索内核内存，即使使用.process（设置进程上下文）指定给定进程的虚拟地址空间。在用户模式下!address总是指目标进程拥有的内存。 在用户模式下，!address显示指定地址所属区域的特征。没有参数，!address显示所有内存区域的特征。这些特性包括内存使用、内存类型、内存状态和内存保护。有关此信息含义的更多信息，请参阅-f参数说明中的前面的表。

0:000> !address 75831234
Usage:                  Image
Base Address:           75831000
End Address:            758f6000
Region Size:            000c5000
Type:                   01000000MEM_IMAGE
State:                  00001000MEM_COMMIT
Protect:                00000020PAGE_EXECUTE_READ
More info:              lmv m kernel32
More info:              !lmi kernel32
More info:              ln 0x75831234

!address /f:Image /c:"s -u %1 %2 \"Note\""

*** Executing: s -u 0xab0000 0xab1000 "Note"
*** Executing: s -u 0xab1000 0xabc000 "Note"
00ab2936  004e 006f 0074 0065 0070 0061 0064 0000  N.o.t.e.p.a.d...
00ab2f86  004e 006f 0074 0065 0070 0061 0064 005c  N.o.t.e.p.a.d.\.
00ab32e4  004e 006f 0074 0065 0070 0061 0064 0000  N.o.t.e.p.a.d...
*** Executing: s -u 0xabc000 0xabd000 "Note"
. . .

kd> !address
  804de000 - 00235000                           
 Usage       KernelSpaceUsageImage
          ImageName   ntoskrnl.exe

  80c00000 - 001e1000
          Usage       KernelSpaceUsagePFNDatabase

....

  f85b0000 - 00004000
          Usage       KernelSpaceUsageKernelStack
          KernelStack 817b4da0 : 324.368

 f880d000 - 073d3000
          Usage       KernelSpaceUsageNonPagedPoolExpansion

WinDbg常用命令系列---!address

标签：abc   lsp   debugger   输出   之一   guard   stat   开始   参数   

原文地址：https://www.cnblogs.com/yilang/p/11563411.html