Question

我在附加notepad.exe后在windbg中执行了uf命令命令是uf记事本！WinMain我得到了以下输出

0:000> uf notepad!WinMain
notepad!WinMain:
0021138d mov     edi,edi
0021138f push    ebp
00211390 mov     ebp,esp
00211392 sub     esp,1Ch
00211395 push    esi
00211396 push    edi
00211397 push    6
002113c8 test    eax,eax
002113ca jl      notepad!WinMain+0x118 (00211c93)

notepad!WinMain+0x43:
002113d0 push    ebx
002113d1 push    dword ptr [ebp+14h]
002113d4 push    edi
002113d5 call    notepad!SkipProgramName (00213170)
002113e5 je      notepad!WinMain+0x10e (00211ca9)

notepad!WinMain+0x5e:
002113eb push    esi
002113ec push    esi
002113ed call    dword ptr [notepad!_imp__GetCurrentProcessId (00211084)]

等等。如果你在每次跳转指令后都注意到它会创建一个像

这样的新块

002113ca jl      notepad!WinMain+0x118 (00211c93)

notepad!WinMain+0x43:

和

002113e5 je      notepad!WinMain+0x10e (00211ca9)

notepad!WinMain+0x5e:

所以我想知道WinDbg中的一个设置，我可以在每次跳转时省略函数反汇编的新块的创建。为什么我不能按照U命令获得输出？

所以我正在寻找像这样的选项

002113c8 test    eax,eax002113ca 
jl      notepad!WinMain+0x118 (00211c93)
**blank line omitted**
**notepad!WinMain+0x43:** omitted**
002113d0 push    ebx002113d1 push    dword ptr [ebp+14h]

任何帮助？

Answer 1

因为功能代码可能分散在整个代码部分（直到链接器决定在哪里放置什么，并且通常最终会将最常执行的部分移动到顶部）

现在，你并不关心你是否对某个特定功能感兴趣 - 它只是按顺序转储指令，而 uf 必须看完成所有相关代码块并将它们格式化在一起，使其看起来像一个完整的功能。

编辑：不幸的是（据我所知）没有立即设置windbg来定制你的需求 - 在这里你可能不得不求助于某种后期处理（漂亮的打印脚本到删除空白行和您需要的任何其他内容。

windbg反汇编函数命令（uf）需要一些格式化

1 个答案: