Advanced Debugging
About AdvDbg Consult Train Services Products Tools Community Contact  
欢迎光临 高端调试 登录 | 注册 | FAQ
 
  ACPI调试
Linux内核调试
Windows内核调试
 
  调试战役
调试原理
新工具观察
 
  Linux
Windows Vista
Windows
 
  Linux驱动
WDF
WDM
 
  PCI Express
PCI/PCI-X
USB
无线通信协议
 
  64位CPU
ARM
IA-32
  CPU Info Center
 
  ACPI标准
系统认证
Desktop
服务器
 
  Embedded Linux
嵌入式开发工具
VxWorks
WinCE
嵌入式Windows
 
  格蠹调试套件(GDK)
  格蠹学院
  小朱书店
  老雷的微博
  《软件调试》
  《格蠹汇编》
  《软件调试(第二版)》
沪ICP备11027180号-1

《软件调试》答疑

帖子发起人: 笨笨   发起时间: 2009-06-14 10:53 上午   回复: 1

Print Search
帖子排序:    
   2009-06-14, 10:53 上午
benben 离线,最后访问时间: 2010/5/15 5:25:32 笨笨

发帖数前500位
注册: 2009-06-14
发 贴: 3
用WinDBG观察分页机制时所遇到的问题
Reply Quote
系统为xp sp3

过程:
启动WinDbg,attach到calc
0:002> x calc!gp*
01014db0 calc!gpszNum =
0:002> dd calc!gpszNum l1
01014db0 000b57c8
0:002> du 000b57c8
000b57c8 "123456789."
0:002> .formats 000b57c8
Evaluate expression:
Hex: 000b57c8
Decimal: 743368
Octal: 00002653710
Binary: 00000000 00001011 01010111 11001000
Chars: ..W.
Time: Fri Jan 09 22:29:28 1970
Float: low 1.04168e-039 high 0
Double: 3.67273e-318
可以看出pde索引为0, pte索引为0010110101b (0xb5)

启动WinDbg 2,进行本地内核调试:
lkd> !process 0 0
**** NT ACTIVE PROCESS DUMP ****

PROCESS 8570e580 SessionId: 0 Cid: 0ab8 Peb: 7ffd9000 ParentCid: 01a8
DirBase: 153cc3e0 ObjectTable: e2ab56f0 HandleCount: 47.
Image: calc.exe

PROCESS 857c1020 SessionId: 0 Cid: 0acc Peb: 7ffd3000 ParentCid: 01a8
DirBase: 153cc180 ObjectTable: e36f9130 HandleCount: 452.
Image: windbg.exe

PROCESS 857b4b98 SessionId: 0 Cid: 0afc Peb: 7ffde000 ParentCid: 0498
DirBase: 153cc420 ObjectTable: e16da0b8 HandleCount: 183.
Image: dllhost.exe

奇怪的地方就在这里:
DirBase的低12bit并非全为0,按道理pde的基地址应该是页面对齐的。

继续往下走:
从process info可看出calc进程的DirBase为153cc3e0
lkd> !dd 153cc3e0
#153cc3e0 307a4001 00000000 308ff001 00000000
#153cc3f0 307a6001 00000000 308fd001 00000000
#153cc400 ee78a2c0 00000000 32572001 00000000
#153cc410 32427001 00000000 32570001 00000000
#153cc420 2f786001 00000000 2f8d3001 00000000
#153cc430 2f788001 00000000 2f8d1001 00000000
#153cc440 ee78a460 00000000 00000000 00000000
#153cc450 00000000 00000000 00000000 00000000
从这些信息可以看出pde的长度肯定非32bit
实验无法继续...

请问是怎么回事?谢谢


IP 地址: 已记录   报告
   2009-06-14, 11:22 上午
benben 离线,最后访问时间: 2010/5/15 5:25:32 笨笨

发帖数前500位
注册: 2009-06-14
发 贴: 3
Re: 用WinDBG观察分页机制时所遇到的问题
Reply Quote
已在blog中找到答案,多谢!
http://advdbg.org/blogs/advdbg_system/articles/627.aspx
IP 地址: 已记录   报告
高端调试 » 图书 » 《软件调试》答疑 » 用WinDBG观察分页机制时所遇到的问题

 
Legal Notice Privacy Statement Corporate Governance Corporate Governance
(C)2004-2020 ADVDBG.ORG All Rights Reserved.