[分享]方便的 windbg 命令

Windows 内部的各种结构通常都会由双向链表串起来，用 !list 命令查看这些结构非常方便。

比如查看系统中的所有进程：

lkd> !list -t nt!_LIST_ENTRY.Flink -x "dt nt!_EPROCESS UniqueProcessId ImageFileName @@(#CONTAINING_RECORD(@$extret, nt!_EPROCESS, ActiveProcessLinks))" poi(nt!PsActiveProcessHead)

+0x084 UniqueProcessId : 0x00000004
+0x174 ImageFileName : [16] "System"

+0x084 UniqueProcessId : 0x00000270
+0x174 ImageFileName : [16] "SMSS.EXE"

+0x084 UniqueProcessId : 0x000002ac
+0x174 ImageFileName : [16] "CSRSS.EXE"

+0x084 UniqueProcessId : 0x000002c4
+0x174 ImageFileName : [16] "WINLOGON.EXE"

+0x084 UniqueProcessId : 0x000002f0
+0x174 ImageFileName : [16] "SERVICES.EXE"

+0x084 UniqueProcessId : 0x00000314
+0x174 ImageFileName : [16] "LSASS.EXE"

+0x084 UniqueProcessId : 0x000003a4
+0x174 ImageFileName : [16] "SVCHOST.EXE"

+0x084 UniqueProcessId : 0x000003f8
+0x174 ImageFileName : [16] "SVCHOST.EXE"

+0x084 UniqueProcessId : 0x000005ec
+0x174 ImageFileName : [16] "SVCHOST.EXE"

+0x084 UniqueProcessId : 0x00000658
+0x174 ImageFileName : [16] "SVCHOST.EXE"

+0x084 UniqueProcessId : 0x000006f0
+0x174 ImageFileName : [16] "SVCHOST.EXE"

+0x084 UniqueProcessId : 0x000000c8
+0x174 ImageFileName : [16] "SPOOLSV.EXE"

+0x084 UniqueProcessId : 0x00000298
+0x174 ImageFileName : [16] "MDM.EXE"

+0x084 UniqueProcessId : 0x00000484
+0x174 ImageFileName : [16] "WGATRAY.EXE"

+0x084 UniqueProcessId : 0x00000494
+0x174 ImageFileName : [16] "EXPLORER.EXE"

+0x084 UniqueProcessId : 0x0000056c
+0x174 ImageFileName : [16] "SVCHOST.EXE"

+0x084 UniqueProcessId : 0x000005d4
+0x174 ImageFileName : [16] "vmware-authd.ex"

+0x084 UniqueProcessId : 0x000006b0
+0x174 ImageFileName : [16] "VMOUNT2.EXE"

+0x084 UniqueProcessId : 0x00000700
+0x174 ImageFileName : [16] "VMNAT.EXE"

+0x084 UniqueProcessId : 0x000007a8
+0x174 ImageFileName : [16] "VMNETDHCP.EXE"

+0x084 UniqueProcessId : 0x00000448
+0x174 ImageFileName : [16] "HKCMD.EXE"

+0x084 UniqueProcessId : 0x000004dc
+0x174 ImageFileName : [16] "IGFXPERS.EXE"

+0x084 UniqueProcessId : 0x00000578
+0x174 ImageFileName : [16] "SOUNDMAN.EXE"

+0x084 UniqueProcessId : 0x00000590
+0x174 ImageFileName : [16] "daemon.exe"

......

如果需要执行多条命令，则把每条命令用分号隔开，把 !list 命令的整个参数用双引号括起来。

详情 jpg 转 rar

转载于:https://www.cnblogs.com/kuangke/p/9397477.html

[分享]方便的 windbg 命令 - !list相关推荐

[日期工具分享][Shell]为特定命令依次传入顺序日期执行
[日期工具分享][Shell]为特定命令依次传入顺序日期执行使用方式: <本脚本文件名(必要时需要全路径)> <要执行的命令所在的文件名> <开始日期> < ...
WinDbg 命令三部曲：（一）WinDbg 命令手册
<WinDbg 命令三部曲:(一)WinDbg 命令手册> <WinDbg 命令三部曲:(二)WinDbg SOS 扩展命令手册> <WinDbg 命令三部曲:(三)Wi ...
WinDBG命令概览(上) - 标准命令
WinDBG命令概览(上) - 标准命令 WinDBG的大多数功能是以命令方式工作的, 本系列将介绍WinDBG的三类命令, 标准命令, 元命令和扩展命令. 标准命令 =============== ...
WinDbg 命令三部曲：（三）WinDbg SOSEX 扩展命令手册
本文为 Dennis Gao 原创技术文章,发表于博客园博客,未经作者本人允许禁止任何形式的转载. 系列博文 <WinDbg 命令三部曲:(一)WinDbg 命令手册> <WinDb ...
windbg命令手册
一. WINDBG命令手册调试准备为了测试 WinDbg 中使用 SOS 扩展命令,我创建了应用程序 "MemoryLeakApp.exe",Visual Studio 程序选 ...
linux 复制包括子目录_【Linux分享】Linux常用命令+教程分享
今天分享分为两部分 :)PART01 Linux常用命令分享/PART02 关于BD面试经验分享 30mins Linux Command:PART 1 你本可以张口就来.....本篇内容分享 ...
【Linux分享】Linux常用命令+教程分享
今天分享分为两部分 :) PART01 Linux常用命令分享/ PART02 关于BD面试经验分享 30mins Linux Command: PART 1 你本可以张口就来..... ...
linux报网络设备繁忙,【分享】linux常用命令
压缩与备份: bzip2/bunzip2 .bz2文件的压缩/解压缩程序 cpio 备份文件 dump 备份文件系统 gzip/gunzip .gz文件的压缩/解压缩程序 gzexe 压缩可 ...
Windbg命令学习9，经典死锁（!cs和~~[TID]）
先上个代码,自己随手写的: #include <windows.h >CRITICAL_SECTION cs1; CRITICAL_SECTION cs2;DWORD __stdcall ...

[分享]方便的 windbg 命令 - !list

[分享]方便的 windbg 命令 - !list相关推荐

最新文章

热门文章