学习<软件调试>时产生一个疑惑,一直也没有找出好的方法, 希望哪位热心人可以指点一下
如 P.183 ,
清单 8-4 系统调用和逆向调用的执行过程
--------------------------------------------------------
kd>kn
# childEBP RetAddr
.....
.... 略
书中说明"显示了使用Windbg的内核调试会话捕捉到的记事本进程发起系统调用进入到内核,内核函数又执行逆向调用的全过程"
请问我们应该怎样得到该结果呢?
是先下合适断点再kn么?
问题是下断点之前我还不知道它的调用函数序列,又如何能下合适的断点呢?
类似的还有P.199 清单9-1 模块映射过程
我们应该如何自己实验得到类似结果,书中很多描述了清单结果,但是对如何实验操作得到该结果的过程描述很少
更进一步，如果想了解一个操作（如关闭记事本）引发了哪些调用，在windbg下有方法跟踪么？
希望哪位高手能够解答学习中碰到的这点疑惑, 先为谢之