hi : 目标机为XP时，可以使用这个命令/i参数来切换激活进程。但是命令不支持2K，请问下，在2K下怎样才能达到相同效果啊？（至少在切换进程后CR3的值会改变）。

原来的符号路径srv*D:\Symbols\xpsp2*http://msdl.microsoft.com/down/symbols  ， 工作正常，后来需要在2K下测试，就吧路径改成了srv*D:\Symbols\2ksp4*http://msdl.microsoft.com/down/symbols。 该是windbg这就不从微软的网站上下载符号了，使用新的工作区和调试会话都无法下载调试符号。 就好像用的是原来XPSP2的符号。.reload 命令输出如下 Connected to Windows 2000 2195 x86 compatible target at (Tue Jul 21 16:53:26.031 2009 (GMT+8)), ptr64 ...

看了windbg的帮助 切换一些上下文， 我 用.process 已经切换到目标进程。 虽然是双核的CPU，但是在虚拟机下调试的，不能切换CPU。 windbg提示如下错误信息 kd> ~*    ^ Syntax error in '~*'

本人超级菜鸟。 想练习下使用windbg，我想跟踪比如说：更改了一个文本文件，然后保存，从最上层的文件系统 驱动一直到底层总线驱动，IRP的STATCK_LCOATION的变化（比如IRP_MJ_WRITE）。 就是不知道怎么下手，我的工作不是做开发。学习只是兴趣，又不认识这方面的高手，所以来论坛请教一下。

现在也不知道为什么好了 显示的模组名是unkonwmodule0001 什么什么的，反正可以下断点了，以前那种名字是不能下断点的。。

windbg+vpc :主机xp+sp3 ,虚拟机 xp+sp2  ,在虚拟机启动notepad后，使用.process 使notepad成为默认的process，使用lm 列举模块 kd> lmstart    end        module name01000000 01013000   _______________________________   (pdb symbols)          ...

谢谢传说中的mj的回复，真没想到您会回复这样的帖子

张老师你好，内核模式下我已经试过了没有问题。 我用.process [address of notepad's EPROCESS] 切换了进程空间。然后.reload /f 符号已经加载起了， 但是模组名不对，不加载符号 模组名也不对。难道是新的windbg (6.11)的问题

windbg+vpc :主机xp+sp3 ,虚拟机 xp+sp2  ,在虚拟机启动notepad后，使用.process 使notepad成为默认的process，使用lm 列举模块 kd> lmstart    end        module name01000000 01013000   _______________________________   (pdb symbols)          ...

谢谢张前辈 ， 这下可以继续看书的后面章节了。。