lhwqqq wrote:你确认这个地址可读？edi+3B0h是的，!address已经告诉大家了。。。后面我dd也显示了dataedi=abe9012cedi+3B0 = abe904dc0:005> !address abe904dc ProcessParametrs 00bd13e8 in range 00bd0000 00cd0000 Environment 00bd07f0 in range 00bd0000 00cd0000    abe90000 : abe90000 - ...

感谢老大回复！但这个程序是启用了Large Address Aware的，并且是运行在64位Win7上。虽为32bit app，应能访问3GB内地址的。所以应该不是>2GB地址不可读写的问题。

不好意思，这个问题我刚发到C/C++版块了。。。但是感觉可能也跟windbg本身的使用有关，是不是我没用对命令找到真正的exception？求windbg大神们帮忙分析下http://advdbg.org/forums/6941/ShowPost.aspx主要内容就是一个程序crash生成dump（程序自身逻辑做的WriteMiniDump，不是Crash时人为去抓的Dump）用.ecxr得到了触发异常的指令，但是，它执行的指令不该触发异常啊，请看下这怎么解释？0:005> !analyze -vFAULTING_IP: ...

各位高手和老师们好！近期遇到个无法解释的问题，程序Crash了，windbg了一下Dump，用.ecxr得到了exception状态时的指令。但是，它执行的指令不该触发异常啊，请看下这怎么解释？0:005> !analyze -vFAULTING_IP: ProgramName!FAsyncTask<FSceneRenderer::FAsyncVisibilityCull>::FinishThreadedWork+30199ac63 83bfb003000000  cmp     dword ptr [edi+3B0h],0EXCEPTION_RECORD:  ffffffff -- (.exr ...

哦，我可能明白了，是把压在栈中的EIP值减了1，return时跳到原执行指令的位置。不知对不对？

请教一下那段带有dec ebx的汇编代码，是如何实现EIP减1的？