sp

呵呵，这个跟你说的东西是两个问题。 一个是操作中途被打断，另一个是操作被覆盖。

谢谢了，《软件调试》的书我有，当时不在手边上。 好久没用过windbg了，当时我把pdb文件拷到了可执行文件目录，就加载上去了。

pdb文件在d:\symcache根目录，但是始终无法加载，以下是windbg输出，为什么呢？ iptsvr.pdb\8439F7A3C92A4014BCFD948DE875CD531\iptsvr.pdb 这个尤其奇怪，符号文件在symcache目录下 0:034> .reload /f iptsvr.exe SYMSRV: d:\symcache\iptsvr.pdb\8439F7A3C92A4014BCFD948DE875CD531\iptsvr.pdb not found SYMSRV: ...

加载基址不一样而已

还有些内存是不分页的，并不是所有的内存都是分页内存 内核有一个未分页内存池

360？ 还是算了吧，我怎么能相信他没有恶意？

在CMD里面执行 TASKLIST /M YOURDLLNAME 其中YOURDLLNAME为指定DLL名字，支持通配符 例如，想查找NT开头的DLL被那些进程引用了，可以执行TASKLIST /M NT* 希望可以解决你的问题

直接调用未公开的函数不太好吧，既然未公开，那就不能确定微软会不会在某个时候改掉，然后就挂了…… 个人觉得调用未公开的函数拿来练手是不错的，要是用在产品里，就不太合适了。

有道理，貌似用微软的编译器编译成C代码可以通过，待会儿试试别的编译器看看能不能通过。