高分求--windbg调试的两个问题（只能发100分，答上另开贴追加分）

zhy 2010-03-29 02:07:50
程序报错，弹出一个很粗糙的对话框，windbg看到是报错的地址是7c978762，但是看下来，这条语句就是一条简单的push语句
push edi（详见下面出错信息）

1）不知道应该是这条语句上面的call ntdll!LdrpInitializationFailure，还是下面的 call ntdll!RtlRaiseStatus 报错；

2）查看了call ntdll!LdrpInitializationFailure里面的反汇编，这个是个专门用于弹出出错信息的函数，里面调用方法call ntdll!ZwRaiseHardError ，这个方法又使用了内核弹出对话框的方法来弹出对话框，如果是这个函数负责报错，为何函数堆栈没有反应出来，现在堆栈只有两层，应该为
ntdll!ZwRaiseHardError
ntdll!LdrpInitializationFailure
ntdll!_LdrpInitialize

而实际dump中堆栈情况是
ChildEBP RetAddr
0012fd14 7c9584c5 ntdll!_LdrpInitialize+0x17e
00000000 00000000 ntdll!KiUserApcDispatcher+0x25

-----------------------------详细出错信息------------------------------------------

出错地点：

eax=00000000 ebx=00000000 ecx=0012fc94 edx=7c9585ec esi=7ffde000 edi=c000007b
eip=7c978762 esp=0012fcc4 ebp=0012fd14 iopl=0 nv up ei pl zr na pe nc
cs=001b ss=0023 ds=0023 es=0023 fs=003b gs=0000 efl=00000246
ntdll!_LdrpInitialize+0x17e:
7c978762 57 push edi

堆栈如下：
0:000> kb
ChildEBP RetAddr Args to Child
0012fd14 7c9584c5 0012fd28 7c930000 00000000 ntdll!_LdrpInitialize+0x17e
00000000 00000000 00000000 00000000 00000000 ntdll!KiUserApcDispatcher+0x25

相应部分前后的反汇编如下
0:000> u 7c978742 7c978778
ntdll!_LdrpInitialize+0x137:
7c978742 8b7de0 mov edi,dword ptr [ebp-20h]
7c978745 834dfcff or dword ptr [ebp-4],0FFFFFFFFh
7c978749 33db xor ebx,ebx
7c97874b e918cefeff jmp ntdll!_LdrpInitialize+0x140 (7c965568)
7c978750 e8ac4e0100 call ntdll!LdrpForkProcess (7c98d601)
7c978755 8bf8 mov edi,eax
7c978757 e93b65feff jmp ntdll!_LdrpInitialize+0x167 (7c95ec97)
7c97875c 57 push edi
7c97875d e8f84e0100 call ntdll!LdrpInitializationFailure (7c98d65a)
7c978762 57 push edi
7c978763 e80afffdff call ntdll!RtlRaiseStatus (7c958672)
7c978768 cc int 3
。。。
...全文
450 14 打赏 收藏 转发到动态 举报
AI 作业
写回复
用AI写文章
14 条回复
切换为时间正序
请发表友善的回复…
发表回复
jingzhongrong 2010-03-29
  • 打赏
  • 举报
 回复
回溯堆栈到你的程序里面再查看。
wuhuwy 2010-03-29
  • 打赏
  • 举报
 回复
没用过WinDbg反汇编调试，只用过OD。我认为应该是后面那句调用出错。弹出对话框后，堆栈中的函数地址己经Pop岀来了，所以只有两层。
wangk 2010-03-29
  • 打赏
  • 举报
 回复
这个应该是一个溢出：

dump里所谓的出错指令是：
push edi

但是观察edi的值是edi=c000007b，esp=0012fcc4
重内存和指令推测，push edi指令是不会有什么问题的。

但是实际运行中eip还是跳到了eip=7c978762，所以这里应该是一个溢出的概率比较大。

建议你用dds回朔堆栈看看，还没有被溢出覆盖的的堆栈内容。
zhy 2010-03-29
  • 打赏
  • 举报
 回复
我应该是full dump，还有什么定位的方法吗？
wangk 2010-03-29
  • 打赏
  • 举报
 回复
从你贴的东西看不到更多有用的东西。如果你有Full Dump的话，还可以仔细定位一下。
碰到mini Dump被溢出，一点办法都没有了。

另外KiUserApcDispatcher是APC调用的触发处理例程。比如加载Dll、TLS回调之类的都是走这个处理例程。
zhy 2010-03-29
  • 打赏
  • 举报
 回复
我在这里给出teb和反汇编的完整输出


------------------------------------------
teb信息和堆栈中两个函数的反汇编信息如下
0:000> !teb
TEB at 7ffdd000
ExceptionList: 0012fd04
StackBase: 00130000
StackLimit: 0012e000
SubSystemTib: 00000000
FiberData: 00001e00
ArbitraryUserPointer: 00000000
Self: 7ffdd000
EnvironmentPointer: 00000000
ClientId: 00000f44 . 00000f48
RpcHandle: 00000000
Tls Storage: 00000000
PEB Address: 7ffde000
LastErrorValue: 0
LastStatusValue: c0000100
Count Owned Locks: 0
HardErrorMode: 0

0:000> u ntdll!KiUserApcDispatcher+25h
ntdll!KiUserApcDispatcher+0x25:
7c9584c5 8b8fcc020000 mov ecx,dword ptr [edi+2CCh]
7c9584cb 64890d00000000 mov dword ptr fs:[0],ecx
7c9584d2 6a01 push 1
7c9584d4 57 push edi
7c9584d5 e8b5e8ffff call ntdll!NtContinue (7c956d8f)
7c9584da 8bf0 mov esi,eax
7c9584dc 56 push esi
7c9584dd e890010000 call ntdll!RtlRaiseStatus (7c958672)

0:000> u ntdll!_LdrpInitialize+17eh
ntdll!LdrpInitializeThread+0xa7:
7c95edc7 ff8b018945e4 dec dword ptr [ebx-1BBA76FFh]
7c95edcd 8bc8 mov ecx,eax
7c95edcf ebd0 jmp ntdll!LdrpInitializeThread+0x7d (7c95eda1)
7c95edd1 803d44799b7c00 cmp byte ptr [ntdll!LdrpImageHasTls (7c9b7944)],0
7c95edd8 0f85e4110100 jne ntdll!LdrpInitializeThread+0x139 (7c96ffc2)
7c95edde 834dfcff or dword ptr [ebp-4],0FFFFFFFFh
7c95ede2 e89a000000 call ntdll!LdrpInitializeThread+0x19b (7c95ee81)
7c95ede7 e86a94ffff call ntdll!_SEH_epilog (7c958256)
zhy 2010-03-29
  • 打赏
  • 举报
 回复
那篇帮助看的半懂不懂，我在teb中能找到栈基础地址，然后我想根据堆栈（见主贴）一个一个找出每个函数保留了多少堆栈，反汇编的时候发现，ntdll!KiUserApcDispatcher+0x25这个位置根本不像一个函数入口（有诸如push ebp，mov ebp，esp之类的语句）

而ntdll!_LdrpInitialize+17eh更奇怪，按照windbg报错时候的显示，地址应该为7c978762，但是我反汇编 u ntdll!_LdrpInitialize+17eh
居然返回的地址和符号名称都不对
0:000> u ntdll!_LdrpInitialize+17eh
ntdll!LdrpInitializeThread+0xa7:
7c95edc7 ff8b018945e4 dec dword ptr [ebx-1BBA76FFh]
。。。。。。

而用 u 7c978762能得到正确的返回
0:000> u 7c978762
ntdll!_LdrpInitialize+0x17e:
7c978762 57 push edi

是我的符号加载有误吗？

zhy 2010-03-29
  • 打赏
  • 举报
 回复
顶caozhy
zhy 2010-03-29
  • 打赏
  • 举报
 回复
自己顶啊啊
wangk 2010-03-29
  • 打赏
  • 举报
 回复
去查windbg调试溢出的帮助吧。我记得大概是这样步骤。

先去看线程环境，得到线程堆栈的顶部和底部，用dds指定计算出的值。而不是使用当前的esp，因为这个时候，esp可能已经被覆盖了。
Treeyan 2010-03-29
  • 打赏
  • 举报
 回复
看结贴率不错。勉为其难滴回答一下，嘿嘿。
整个看来，程序初始化滴时候出错，应该是某个库加载失败，引起RaiseHardError，接下来应该“呱唧”蓝屏掉，嘿嘿。
btw：native mode 下的程序有些额外工作需要做哦。
zhy 2010-03-29
  • 打赏
  • 举报
 回复
自己顶
zhy 2010-03-29
  • 打赏
  • 举报
 回复
我现在只有dump，用dds查看后，怎么才知道堆栈被覆盖了呢？
DriverMonitor
DriverStudio下的DriverMonitor.exe驱动加载调试工具。
wdk8.1 离线安装包
wdk8.1 离线安装包，希望对你有用处。
Windbg调试----Windbg入门
Windbg简单来说就是一个Windows下对用户态/内核态的程序进行调试，以及对Core Dump文件的分析。对于Crash，资源泄露，死锁等问题的分析，Windbg是一个强有力的利器。相关资料本人也是在维护和开发产品的过程中使用过Windbg，但并未对Windbg进行过系统和深入的学习，也通过这一系列的博客来完善自己对Windbg以及周边知识的理解与使用。我也列出自己正在或者即将阅读的书/资料与
WinDbg-虚拟机-双机调试-驱动文件的调试
驱动文件的调试前言一、构建调试环境二、在要调试的驱动程序中下断点1.WinDbg中打开驱动文件2.在驱动程序中下断点三、准备调试1.在虚拟机中的操作系统中加载驱动文件2.在虚拟机中的操作系统中用vs打开三环程序准备调试四、开始调试1.vs中下断点后F5键启动调试。2.在要调试的函数中F11键进入函数内部3.WinDbg的其他窗口总结 前言 本文讲解用WinDbg和虚拟机调试驱动程序的具体过程。 不涉及WinDbg和虚拟机的配置问题。 调试环境为WinDbg+VMware+Win7 一、构建调试环境 以调
Windbg调试----多线程控制调试
在调试程序的时候，可能经常会有这样的需求，让一个线程在特定的时候才让其开始执行或者暂停执行。比如复杂的多线程导致死锁的问题，又或者多线程中的Race Condition 导致程序执行异常等。很多时候，我们可以借助编写调试代码来达到多线程的调试，可是有些情况下调试的执行粒度是指令级别的，那么这个时候我们得借助调试利器Windbg了。本文我们将以《C/C++编程教训—-函数内静态类对象初始化非线程安全（
硬件/系统

2,644

社区成员

17,232

社区内容

发帖
与我相关
我的任务
社区描述
VC/MFC 硬件/系统
社区管理员
  • 硬件/系统社区
加入社区
  • 近7日
  • 近30日
  • 至今

加载中

查看更多榜单
社区公告
暂无公告

试试用AI创作助手写篇文章吧

+ 用AI写文章