Windows应用程序调试策略(二)
简介
本文将介绍如何利用Windows下的调试工具(Windbg,NTSD,DrWatson..)结合Symbol文件在Win2K,WinXP等环境下调试VC++ User-Mode应用程序.
关键字
应用程序调试,WinDbg,Symbol,User-Mode,Kernel-Mode
目录
1.Windows环境下的调试工具;
2.Symbol Files(符号文件);
3.WinDbg的使用;
4.NTSD的使用;
5.DrWatson的使用;
6.Windows Services的调试;
7.WinDbg进阶.
WinDbg的使用
我们先用VC6++写一个程序,工程名为Ex02,如下:
很显然,上述代码会造成访问异常.请注意,在上面的代码中,为了方便的让编译产生的符号文件被调试器找到我们通过在源代码中使用#pragma指示符(Directives)将编译产生的x02.pdb符号文件输出到D:\Symbols\own目录下,然后我们在WinDbg中添加D:\Symbols\own,如下图:
这样我们编译产生的符号文件就会被WinDbg找到.
用WinDbg打开被调试的程序:
打开后WinDbg将中断在整个程序的第一行代码处,在Command窗口中输入go或者按F5键程序将被正常的运行起来,就像VC6++在Debug模式下按F5的效果是一样的:
1.如果遇到用户设置的断点;
2.如果程序出现异常(崩溃);
3.程序正常的执行结束.
WinDbg将接过程序的控制权.
下面我们按F5,咦,为什么程序控制权还在WinDbg手里?原来程序遇到了异常:
WinDbg捕获了Ex02.exe中的这个异常,并中断在出现异常的位置,根据上面这些WinDbg显示出来的信息我们能看到什么呢?别着急,我们用k命令看看此时的调用堆栈(Call Stack):
注意,如果我们没有Ex02.exe的符号文件那么我们用k命令看到的可能就是下面这样的情形:WinDbg无法告诉我们一个友好名字(调用堆栈顶端第一行)取而代之的是一个偏移地址.
调用堆栈里面放的是当前被调用的各级具有包含关系的函数,就上面这个例子来说我们可以看到:异常出现的时候首先被调用的是kernel32.dll中的BaseProcessStart函数,然后该函数又调用Ex02.exe中的wWinMainCRTStartup函数,接着是wWinMainCRTStartup调用Ex02.exe中的wWinMain函数,最后的调用情况是wWinMain调用AccessViolation函数.
看完了调用堆栈的情况,那我们该怀疑那个函数呢?是哪个函数导致了崩溃呢?很显然我们应该怀疑AccessViolation(并不是因为它的名字让人觉得可疑,J),因为它是我们编写的用户函数(相对于wWinMain等),它导致程序崩溃的可能性远远大于那些被我们的函数暗地里调用的那些系统函数,我们可以看到WinDbg提供了崩溃在Ex02.cpp中的具体位置:22行,经过检查我们的代码我们应该很快的发现我们犯的错误.
实战中你可能需要更多的WinDbg方面的帮助,安装完WinDbg后你可以在该安装包中提供的帮助文档中得到更多的支援.
(未完待续)
术语解释
User-Mode:
1.User-Mode的应用程序运行在它们自己的虚拟地址空间里面,
2.User-Mode的应用程序不能直接访问包括系统硬件,为分配给他们的内存等危及系统安全的资源;
3.一般来说User-Mode的应用程序可以分为:
a.系统进程(System Processes),他们是操作系统的一部分,比如登陆进程(Logon process),会话管理进程(Session manager process);
b.服务器进程(Server Process),比如Windows的Event Log 和Scheduler;
c.环境子系统(Environment Subsystems),Windows提供了三种环境子系统:Win32,POSIX,OS/2;
d.用户应用程序.
Kernel-Mode:
1.Kernel-Mode的进程可以访问系统的任何部分,包括其他的Kernel-Mode进程和User-Mode 的应用程序以及硬件;
2.Kernel-Mode可以别分类为:
a.执行体(Executive),包括基本的操作系统部分:内存管理模块,进程/线程管理模块,安全模块,IO模块,跨进程通信模块(Interprocess Communication);
b.内核(Kernel),包括线程调度,中断,异常调度(Exception Dispatching),多处理器同步;
c.硬件抽象层(Hardware Abstraction Layer)
d.Windows图形子系统,GUI函数;
调用堆栈:
拿上面的例子来说明,从函数的层面来说程序的执行流如下图所示,首先调用的是BaseProcessStart,该函数又需要调用wWinMainCRTStartup函数,只有在wWinMainCRTStartup函数执行完成返回的时候BaseProcessStart才可能继续往下执行,所以此时BaseProcessStart会入栈(保存执行现场:当前寄存器的值,临时结果等),等待wWinMainCRTStartup执行完成再出栈继续往下执行,同样道理wWinMainCRTStartup又会等到wWinMain执行完成才会返回,所以它也会入栈,以此类推,所以我们看到调用堆栈会是在WinDbg中用k命令所看到的那样.
附录
下载WinDbg以及Symbol的地址:http://www.microsoft.com/ddk/debugging/
