wrk源码分析之WinDbg+Bochs调试

扬长避短使用Windbg和Visual Studio 高效调试调试你的代码经常被问及这样的问题：你为什么非要使用Windbg调试你的程序？记得有一次面试的时候笔者也被问到这样的问题，我的回答是：不是我非要使用Windbg, 只是在不同的情况下使用不同的工具会更加方便而高效。

文档收集自网络，仅用于个人学习那么这两者到底有什么区别？在什么情况下用什么工具会更方便呢？所谓尺有所短，寸有所长，那么笔者就总结一下在什么情况下用什么工具会更方便，可能不是100%的全面，但是应该可以说明一定的问题，希望给初学者以指引。

文档收集自网络，仅用于个人学习Case 1:分析.dmp文件的时候，可以使用Windbg和Visual Studio，但是windbg更高效，.dmp文件是发生问题时的进程转储文件，windbg 集成了一系列的基本命令和扩展命令，一句话，只要是.dmp文件里面有的，你都可以很快的得到。

文档收集自网络，仅用于个人学习Case 2：问题没有办法重现，就是说测试人员并不知道问题是怎么跑出来的，或者代码跑了几个月，跑出来一个问题，没有办法调试，只能抓一个.dmp文件，然后就回到了Case 1.文档收集自网络，仅用于个人学习Case 3:内核调试，包括驱动，系统代码，他们本身是运行在内核级的，而我们的程序运行在用户态，如果希望调试这部分代码，Visual Studio 似乎有些力不从心，这个时候就是windbg发挥的时候了。

文档收集自网络，仅用于个人学习Case 4：调试多线程死锁问题，用windbg很容易分析出来那个线程占用了那个锁。

Case 5：分布式，RPC调用，利用Visual Studio看那个组件调用哪个组件很不方便，而是用windbg却是一目了然。

文档收集自网络，仅用于个人学习Case 6：内存破坏问题，Visual Studio如果想查看内存破坏问题简直比登天还难，除非破坏完了马上crash，但是大部分的情况是内存破坏了，但是并不来表现出来，包括对破坏，栈破坏，windbg几个命令就可以轻松搞定。

WinDbg 调试入门Living1 使用方式1.1 启动进程通过菜单File->Open Executable启动，为了接近常用启动环境，最好把Start directory 设置为进程所在目录。

1.2 注入进程通过菜单File->Attach to a Process注入到当前运行的进程中。

1.3 系统默认调试器HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\AeDebug修改其中的Debugger项""C:\WinDbg\windbg.exe"" -p %ld -e %ld如果系统中任意进程发生崩溃，则自动调用系统默认调试器注入到该进程中。

如果Auto 取值为1，不提示用户直接进入。

1.4 程序启动时自动加载调试器当任意进程以任意方式启动时，自动加载调试器并注入到该进程中。

例如有loader.exe加载game.exe，而且game.exe必须由loader加载才能正常运行。

如果game.exe在启动过程中出现错误，希望调试game.exe的启动过程，可使用本方法。

运行WinDbg所附带的工具Global Flags。

请注意，在Image编辑框中只能输入进程的文件名，不能包括路径信息。

1.5 使用AdPlus脚本自动捕捉错误使用WinDbg附带的AdPlus脚本监视进程，如果进程发生崩溃则自动写入到Dump文件中。

adplus –crash –pn notepad.exe –o c:\dumps –quiet说明：-crash 表示监测进程中的崩溃情况-pn 对notepad.exe进行监测，系统中必须有notepad.exe在运行。

也可使用-p <PID>参数，通过进程ID指定要监视的进程。

-o C:\dumps 把日志与捕捉到的dump文件保存到该目录中。

WinDBG调试命令⼤全转载收藏于：#调试命令窗⼝+++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++#使⽤gflags.exe⼯具（在windbg所在⽬录下），让某个进程启动时，拉取windbg进⾏调试如下截图：当名称为captcomm.exe的进程启动时，拉起windbg调试也可通过脚本命令来实现：// 运⾏captcomm.exe时，启动windbg调试reg add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\captcomm.exe" /v Debugger /t REG_SZ /d "C:\Program Files\Debugging Tools for Windows (x86)\windbg.exe" /f// 解除启动时windbg调试reg delete"HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\captcomm.exe" /f// 64位系统上，也可以设置以下注册表节点reg add "HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\captcomm.exe" /v Debugger /t REG_SZ /d "C:\Program Files\Debugging Tools for Windows (x86)\windbg.exe" /f// 解除启动时windbg调试reg delete"HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\captcomm.exe" /f// 测试发现：HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options和HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Image File Execution Options指向的是同⼀数据，修改其中任何⼀安全软件可能会禁⽌修改注册表的Image File Execution项：-- 对于360安全卫⼠，在“设置”中去掉“开启360⾃我保护”的勾选来关闭-- 对于McAfee，需要禁⽌IPS（Intrusion Prevension Systems）。

Bochs是一个基于LGPL的开源x86虚拟机软件。

Bochs的CPU指令是完全自己模拟出来的，这种方式的缺点是速度比较慢；优点是具有无以伦比的可移植性：有G cc的地方就可以有Bochso甚至已经有了跑在PocketPC上的Bochs。

现在的Bochs 已经实现了一定程度的调试功能，虽然在易用性和功能上还无法和WinDbg> SoftICE相比，但优势也是很明显的：对跑在Bochs里面的代码来说，这就是“硬件调试器”。

对Windows 版本的Bochs来说，安装目录下的bochsdbg. exe就是Bochs的调试版本。

用它来运行Bochs虚拟机就可以进行“硬件调试”。

Bochs的调试命令风格是按照GDB习惯来设计的，这对于用惯了WinDbg的人来说无統是痛苦的，好在这是个开源软件，看着不顺眼可以考虑自己改改。

目前版本的Bochs （Version 2. 1. 1）支持的调试命令如下：［注意］1、 Bochs的文档和帮助信息中的使用说明与真实情况之间存在很大的差错和缺失，下面的命令说明根据源码作了很多补充和修正。

2、其中涉及到的sw （段）、off （偏移）、addr （地址）、val （值）等数字，可以使用十六进制、十进制或者八进制，但必须按照如下形式书写：十六进制0xCDEF0123八进制01234567十进制123456789尤其要注意，Bochs不能自动识别16进制的数字，也不接受12345678h这种写法。

［执行控制］c | cont向下执行，相当于WinDBG的“矿。

s | step | stepi ［count］单步执行，相当于WinDBG的"t” , count 默认为 1。

p I n | next单步执行，类似于WinDBG的“p"。

q | quit I exit退出调试，同时关闭虚拟机。

Ctrl-C结束执行状态，返回调试器提示符。

Ctrl~D if at empty line on command 1 ine? exit（至少在Windows版本中我没有发现Ctrl-D有什么功能）［执行断点］vb | vbreak ［seg: off］在虚拟地址上下断点。