关于条件断点之字符串比较 - 高端调试

欢迎光临高端调试登录 | 注册 | FAQ

搜索论坛

	内核调试

	ACPI调试 Linux内核调试 Windows内核调试
	调试方法学

	调试战役调试原理新工具观察
	操作系统

	Linux Windows Vista Windows
	驱动开发

	Linux驱动 WDF WDM
	总线

	PCI Express PCI/PCI-X USB 无线通信协议
	中央处理器

	64位CPU ARM IA-32
	CPU Info Center
	计算机机系统

	ACPI标准系统认证 Desktop 服务器
	嵌入式系统

	Embedded Linux 嵌入式开发工具 VxWorks WinCE 嵌入式Windows
	特别链接

	格蠹调试套件(GDK)
	格蠹学院
	小朱书店
	老雷的微博
	《软件调试》
	《格蠹汇编》
	《软件调试(第二版)》


沪ICP备11027180号-1

WinDbg

帖子发起人: Crazy0root 发起时间: 2015-03-20 06:34 上午 回复: 2

搜索论坛

帖子排序:

2015-03-20, 06:34 上午

tobtopn 离线，最后访问时间: 2015/3/19 22:30:55 Crazy0root

发帖数前500位
注册: 2015-03-19
发贴: 3

Tongue Tied [:S] 关于条件断点之字符串比较

附件: windbg_条件断点.png

先起了个cmd，然后windbg attach这个cmd进程，设置条件断点如下：
0:000> bl
0 e 7577204d     0001 (0001)  0:**** kernel32!CreateProcessW "r @$t1=poi(esp+4); as /mu ${/v:pszCP} @$t1;
.if($spat(\"${pszCP}\", \"*epad.exe\")){kv; du @$t1} .else{gc}"

就是想在cmd中启动notepad.exe时断下来。
在cmd中交替启动calc.exe和notepad.exe发现两个个问题（见图）：
1.当前一次断在创建notepad进程后，下一次启动calc.exe时，也会断下来
2.当前一次运行的是calc.exe没有断下时，下一次运行notepad也不断下来，再下一次才能断下
请问大家有没有出现这个诡异的问题？

IP 地址: 已记录   报告

2015-03-20, 06:37 上午

tobtopn 离线，最后访问时间: 2015/3/19 22:30:55 Crazy0root

发帖数前500位
注册: 2015-03-19
发贴: 3

Re: 关于条件断点之字符串比较

附件: windbg_ad.png

试着用ad清了下别名，反而启动calc.exe都断不下来了，但输出$spat()比较的结果又没问题啊~(如图所示)
bp命令如下：
bp kernel32!CreateProcessW "r @$t1=@rcx;
as /mu ${/v:pszKC} @$t1;
.if($spat(\"${pszKC}\", \"*calc.exe\")){du @rcx; kv; ad ${/v:pszKC}}
.else{? $spat(\"${pszKC}\", \"*calc.exe\"); du rcx; ad ${/v:pszKC};gc}"

IP 地址: 已记录   报告

2015-03-20, 18:12 下午

tobtopn 离线，最后访问时间: 2015/3/19 22:30:55 Crazy0root

发帖数前500位
注册: 2015-03-19
发贴: 3

Big Smile [:D] Re: 关于条件断点之字符串比较

设置两个断点，第一个处理别名，第二个真断，测试可以直接断下来，没有出现断在下一个的问题！
bp kernel32!CreateProcessW "r @$t1=poi(esp+4); as /mu ${/v:pszCP} @$t1; gc"
bp kernel32!CreateProcessW+2 ".if($spat(\"${pszCP}\", \"*epad.exe\")){kv; du @$t1} .else{gc}"

请问各位，有没有直接的方法！！！

IP 地址: 已记录   报告

高端调试 » 软件调试 » WinDbg » 关于条件断点之字符串比较