Re: 用WinDBG观察分页机制时所遇到的问题

《软件调试》答疑

用WinDBG观察分页机制时所遇到的问题

---

笨笨 2009-06-14, 10:53 上午
系统为xp sp3

过程:
启动WinDbg,attach到calc
0:002> x calc!gp*
01014db0 calc!gpszNum =
0:002> dd calc!gpszNum l1
01014db0 000b57c8
0:002> du 000b57c8
000b57c8 "123456789."
0:002> .formats 000b57c8
Evaluate expression:
Hex: 000b57c8
Decimal: 743368
Octal: 00002653710
Binary: 00000000 00001011 01010111 11001000
Chars: ..W.
Time: Fri Jan 09 22:29:28 1970
Float: low 1.04168e-039 high 0
Double: 3.67273e-318
可以看出pde索引为0, pte索引为0010110101b (0xb5)

启动WinDbg 2,进行本地内核调试:
lkd> !process 0 0
**** NT ACTIVE PROCESS DUMP ****

PROCESS 8570e580 SessionId: 0 Cid: 0ab8 Peb: 7ffd9000 ParentCid: 01a8
DirBase: 153cc3e0 ObjectTable: e2ab56f0 HandleCount: 47.
Image: calc.exe

PROCESS 857c1020 SessionId: 0 Cid: 0acc Peb: 7ffd3000 ParentCid: 01a8
DirBase: 153cc180 ObjectTable: e36f9130 HandleCount: 452.
Image: windbg.exe

PROCESS 857b4b98 SessionId: 0 Cid: 0afc Peb: 7ffde000 ParentCid: 0498
DirBase: 153cc420 ObjectTable: e16da0b8 HandleCount: 183.
Image: dllhost.exe

奇怪的地方就在这里:
DirBase的低12bit并非全为0，按道理pde的基地址应该是页面对齐的。

继续往下走：
从process info可看出calc进程的DirBase为153cc3e0
lkd> !dd 153cc3e0
#153cc3e0 307a4001 00000000 308ff001 00000000
#153cc3f0 307a6001 00000000 308fd001 00000000
#153cc400 ee78a2c0 00000000 32572001 00000000
#153cc410 32427001 00000000 32570001 00000000
#153cc420 2f786001 00000000 2f8d3001 00000000
#153cc430 2f788001 00000000 2f8d1001 00000000
#153cc440 ee78a460 00000000 00000000 00000000
#153cc450 00000000 00000000 00000000 00000000
从这些信息可以看出pde的长度肯定非32bit
实验无法继续...

请问是怎么回事?谢谢

Re: 用WinDBG观察分页机制时所遇到的问题

---

笨笨 2009-06-14, 11:22 上午
已在blog中找到答案，多谢！
http://advdbg.org/blogs/advdbg_system/articles/627.aspx