在this question中,我试图使Windbg脚本正常工作,但是也许我仍然可以使用PYKD解决我的问题。我的问题如下:
我启动命令~* k
,并得到以下响应(如在上述问题中一样,我想强调超链接,因此是图像而不是简单的文本):
我想模拟包含CServiceModule::Run
的行上的鼠标单击。当我将鼠标悬停在相应的超链接02
上时,会看到以下Windbg命令:
dx Debugger.Sessions[0].Processes[4416].Threads[4436].Stack.Frames[2].SwitchTo();dv /t /v
直到现在,我都尝试自己重新创建该命令,但是现在我意识到,如果我可以从响应本身中获取该命令,那么我的问题就可以解决。
据我所知,PYKD DbgCommand()
仅给出了响应的文本部分(因此,没有提供超链接下的信息)。
是否可以通过DbgCommand()
命令获取此超链接?
答案 0 :(得分:0)
如果知道帧号,则可以使用pykd.setFrame命令切换帧。 但是您应该记住,pykd不支持内联函数框架。因此,一个帧的数量可能不同于windbg的输出。您可以使用命令“ inline 0”禁用内联功能
pykd脚本如下所示:
frames = getStack()
for frameNumber in xrange( len(frames) ):
if "ServiceModule::Run" in findSymbol(frames[frameNumber].ip):
setFrame(frameNumber)
dprintln("frame switched")
额外的编辑以提高可读性
如以下评论所述,PYKD出现了一个名为“ dbgCommand doesnt support DML command output”的问题:换句话说:PYKD DbgCommand()
目前尚不支持DML。
答案 1 :(得分:0)
kb的结果
0:000> kb
# ChildEBP RetAddr Args to Child
00 000bf618 76fa0e00 7ffdf000 7ffda000 76ff714c ntdll!LdrpDoDebuggerBreak+0x2c
01 000bf778 76f860a7 000bf7ec 76f20000 76c245cb ntdll!LdrpInitializeProcess+0x11a9
02 000bf7c8 76f83659 000bf7ec 76f20000 00000000 ntdll!_LdrpInitialize+0x78
03 000bf7d8 00000000 000bf7ec 76f20000 00000000 ntdll!LdrInitializeThunk+0x10
当我单击dml链接02时
0:000> dx Debugger.Sessions[0].Processes[2684].Threads[3736].Stack.Frames[2].SwitchTo();dv /t /v
Debugger.Sessions[0].Processes[2684].Threads[3736].Stack.Frames[2].SwitchTo()
Unable to enumerate locals, Win32 error 0n87
Private symbols (symbols.pri) are required for locals.
Type ".hh dbgerr005" for details.
正如我在之前的回答中所强调的,
dx @ $ curstack.Frames [2] .SwitchTo(); dv / v / t
键入这完全等同于单击02链接
0:000> dx @$curstack.Frames[2].SwitchTo();dv /v /t
@$curstack.Frames[2].SwitchTo()
Unable to enumerate locals, Win32 error 0n87
Private symbols (symbols.pri) are required for locals.
Type ".hh dbgerr005" for details.
仅当使用可用源进行调试时,这才有意义 这是带有源的堆栈和框架2的示例
我正在使用kbL在堆栈跟踪中隐藏我的src行信息 然后单击第2号DML链接 然后键入命令,因为您可以看到它像单击
一样打印相同的信息现在,如果您说我需要查看“ RUN”字符串,请不要使用数字2 您应该编写一个脚本以文本解析每一行,如我在前面对链接线程的回答中所显示的那样
0:000> kbL
# ChildEBP RetAddr Args to Child
00 (Inline) -------- -------- -------- -------- mfctest!CThreadLocal<_AFX_THREAD_STATE>::GetData
01 0025fe48 012fbc2f 015bf7a8 012fd4bd ffffffff mfctest!AfxGetThreadState
02 0025fe64 0151979e 00000000 015c6360 7ffdb000 mfctest!CWinThread::Run+0xf
03 0025fe7c 014c17d5 012e0000 00000000 00322d3e mfctest!AfxWinMain+0x93
04 (Inline) -------- -------- -------- -------- mfctest!invoke_main+0x1a
05 0025fec8 76e8ed6c 7ffdb000 0025ff14 76f837eb mfctest!__scrt_common_main_seh+0xf8
06 0025fed4 76f837eb 7ffdb000 76b22d01 00000000 kernel32!BaseThreadInitThunk+0xe
07 0025ff14 76f837be 014c1892 7ffdb000 00000000 ntdll!__RtlUserThreadStart+0x70
08 0025ff2c 00000000 014c1892 7ffdb000 00000000 ntdll!_RtlUserThreadStart+0x1b
clicking link with number 2
0:000> dx Debugger.Sessions[0].Processes[620].Threads[2228].Stack.Frames[2].SwitchTo();dv /t /v
Debugger.Sessions[0].Processes[620].Threads[2228].Stack.Frames[2].SwitchTo()
@ebx class CWinThread * this = 0x015bf7a8 {h=0xfffffffe proc={...}}
<unavailable> long lIdleCount = <value unavailable>
@eax class _AFX_THREAD_STATE * pState = 0x0153b820
<unavailable> int bIdle = <value unavailable>
using command (NOT CLICKING BUT TYPING THIS )
0:000> dx @$curstack.Frames[2].SwitchTo();dv /v /t
@$curstack.Frames[2].SwitchTo()
@ebx class CWinThread * this = 0x015bf7a8 {h=0xfffffffe proc={...}}
<unavailable> long lIdleCount = <value unavailable>
@eax class _AFX_THREAD_STATE * pState = 0x0153b820
<unavailable> int bIdle = <value unavailable>