Basic Windbg - 1. SOSBasics

看代码先。这是一个控制台程序,通过这个程序,我们来初步接触一下windbg如何使用。(代码你可以自己创建一个console application,然后把我下面代码全部覆盖上去即可,用vs2002/03/05/08皆可)请耐着性子,下拉滚动条,看下面的介绍。
Code


1、按照Main里面说的办法,抓下来一个dump文件
2、用windbg打开,快捷键是Ctrl+D

首先映入眼帘的,是这些东西
eax=00000003 ebx=016a0000 ecx=002df100 edx=00000008 esi=002deee4 edi=00010588
eip=76f60f34 esp=002dee84 ebp=002deea4 iopl=0         nv up ei pl zr na pe nc
cs=001b  ss=0023  ds=0023  es=0023  fs=003b  gs=0000             efl=00000246
ntdll!KiFastSystemCallRet:
76f60f34 c3              ret

什么含义,先不用管它。我们来看第一个命令,~(波浪线,就是你的字母1旁边的那个)
0:000> ~
.  0  Id: 1244.1248 Suspend: 1 Teb: 7ffdf000 Unfrozen
   1  Id: 1244.125c Suspend: 1 Teb: 7ffdd000 Unfrozen
   2  Id: 1244.1268 Suspend: 1 Teb: 7ffdc000 Unfrozen

结果是有三行。这表明,当前程序有三个线程。每一行最左面,是0、1、2,线程的序号。注意上面的第一行,0左面有一个点,表明这是当前线程。如果要切换线程,用波浪线+序号+s来切换,如切换到线程2,那么用~2s即可。

现在只有线程信息,对于每个线程,在被抓的那一刻,在执行什么,我们有命令:kb
K打头的有好多,我们就先看这个kb吧!首先切换到线程2(执行~2s),然后敲kb,回车。
这里要注意,如果你第一次看dump,那么windbg会自动根据前文介绍的那个symbolspath去下载匹配你这个dump文件的symbols,so,时间比较长。你会看到命令窗口最左面,有一个×BUSY×的提示,这表明它在下载东西。好奇一点,你可以打开资源管理器,到c:\symcache(就是前文说的那个symbolspath的本地缓存路径),不停的刷新,你会看到几个目录,及里面的文件在不停的增长。
经过漫长的等待,结果出来了,看一下!
0:002> kb
ChildEBP RetAddr  Args to Child             
0373f650 76f60690 75ee7e09 00000002 0373f6a4 ntdll!KiFastSystemCallRet
0373f654 75ee7e09 00000002 0373f6a4 00000001 ntdll!ZwWaitForMultipleObjects+0xc
0373f6f0 75ee8150 0373f6a4 7a3b84e0 00000000 kernel32!WaitForMultipleObjectsEx+0x11d
0373f70c 79ef224b 00000002 7a3b84e0 00000000 kernel32!WaitForMultipleObjects+0x18
0373f72c 79fb997b 004b99d8 0373f830 004b9a08 mscorwks!WKS::WaitForFinalizerEvent+0x77
0373f740 79ef3207 0373f830 00000000 00000000 mscorwks!WKS::GCHeap::FinalizerThreadWorker+0x79
0373f754 79ef31a3 0373f830 0373f7dc 79f91478 mscorwks!Thread::DoADCallBack+0x32a
0373f7e8 79ef30c3 0373f830 d89770b4 00000000 mscorwks!Thread::ShouldChangeAbortToUnload+0xe3
0373f824 79fb9643 0373f830 00000000 004b54a8 mscorwks!Thread::ShouldChangeAbortToUnload+0x30a
0373f84c 79fb960d 79fb990e 00000008 0373f894 mscorwks!ManagedThreadBase_NoADTransition+0x32
0373f85c 79fba09b 79fb990e d8977004 00000000 mscorwks!ManagedThreadBase::FinalizerBase+0xd
0373f894 79f95a2e 00000000 00000000 00000000 mscorwks!WKS::GCHeap::FinalizerThreadStart+0xbb
0373f930 75ee3833 004b9a08 0373f97c 76f3a9bd mscorwks!Thread::intermediateThreadProc+0x49
0373f93c 76f3a9bd 004b9a08 03739f20 00000000 kernel32!BaseThreadInitThunk+0xe
0373f97c 00000000 79f959e8 004b9a08 00000000 ntdll!_RtlUserThreadStart+0x23


记住一点,这个东西叫做callstack,是需要从下往上看的。即,最下面的是执行的源头,最上面的,是执行的最后一句。(不过,看这个,我们基本看不出啥东西来。)
如果你的线程很多,如一个asp.net程序,那么aspnet_wp或者w3wp里面会有几十号甚至几百号线程,看每个线程的代码,都这么切换,那就要累死了!so,我们看下一个命令,如何查看所有线程的代码。
命令是:~* kb,就是波浪线+星号+kb
等待一会,所有线程信息都会出来。注意一点,可能你会看到这个信息
*** WARNING: Unable to verify checksum for mscorlib.ni.dll
WARNING: Frame IP not in any known module. Following frames may be wrong.

002df0c8 7948d2bb 015765c0 0157651c 002df128 0x40a743
002df110 7948d1ed 002df128 00000000 00000100 mscorlib_ni+0x3cd2bb

这两个,看葡萄那本书去,上面有介绍。
上面看到的线程信息,包括相应的kb命令,都是非托管代码的,即:unmanaged code,那么,怎么看到.net的相关信息呢?这时候就需要SOS了,我们在命令窗口敲:.load clr20\sos.dll,就是"点load clr20\sos.dll"(如果你是framework 1.x,那么就换为.load clr10\sos.dll)
这个时候,如果要看managed code的信息,就可以用!clrstack命令来看(注意前面有一个叹号)。同理,如果看当前线程的,就直接敲!clrstack,如果看其他线程的,就波浪线+线程序号+s切换过去,然后再敲!clrstack。如果看全部线程的managed code信息,就用~* e!clrstack(注意,这里多了一个e叹号)
我们现在在thread 2里面,那么敲!clrstack,看看结果:
0:002> .load clr20\sos.dll
0:002> !clrstack
OS Thread Id: 0x1268 (2)
Failed to start stack walk: 80004005


出错了,什么原因?以后再说。那么切换到1号去看看:
0:002> ~1s
eax=79f4e71f ebx=00000003 ecx=00000000 edx=00000000 esi=00000000 edi=00000000
eip=76f60f34 esp=0150f908 ebp=0150f9a4 iopl=0         nv up ei pl zr na pe nc
cs=001b  ss=0023  ds=0023  es=0023  fs=003b  gs=0000             efl=00000246
ntdll!KiFastSystemCallRet:
76f60f34 c3              ret
0:001> !clrstack
OS Thread Id: 0x125c (1)
Unable to walk the managed stack. The current thread is likely not a
managed thread. You can run !threads to get a list of managed threads in
the process

哦,这不是一个托管线程,so,看不到。继续到0号去看看:
0:001> ~0s
eax=00000003 ebx=016a0000 ecx=002df100 edx=00000008 esi=002deee4 edi=00010588
eip=76f60f34 esp=002dee84 ebp=002deea4 iopl=0         nv up ei pl zr na pe nc
cs=001b  ss=0023  ds=0023  es=0023  fs=003b  gs=0000             efl=00000246
ntdll!KiFastSystemCallRet:
76f60f34 c3              ret
0:000> !clrstack
OS Thread Id: 0x1248 (0)
ESP       EIP    
002df0e0 76f60f34 [NDirectMethodFrameStandaloneCleanup: 002df0e0] System.IO.__ConsoleStream.ReadFile(Microsoft.Win32.SafeHandles.SafeFileHandle, Byte*, Int32, Int32 ByRef, IntPtr)
002df0fc 7948d2bb System.IO.__ConsoleStream.ReadFileNative(Microsoft.Win32.SafeHandles.SafeFileHandle, Byte[], Int32, Int32, Int32, Int32 ByRef)
002df128 7948d1ed System.IO.__ConsoleStream.Read(Byte[], Int32, Int32)
002df148 793a3350 System.IO.StreamReader.ReadBuffer()
002df158 793aaa2f System.IO.StreamReader.ReadLine()
002df16c 79497b5a System.IO.TextReader+SyncTextReader.ReadLine()
002df174 793e99f0 System.Console.ReadLine()
002df178 00a400c2 SOSBasics.Program.Main(System.String[])
002df39c 79e7c74b [GCFrame: 002df39c]

很好,很和谐!依据上面的原则,我们从下往上看,倒数第二行,是Main函数,能看出来我的namespace是SOSBasics,然后上一行是Console.ReadLine,然后是System.IO什么的。用脚也能想出来,这应该是.NET内部的实现代码。一直看到最上面一行,我们大致能猜测出来,这个线程信息表明,程序正在等待你敲一个回车。
(这个回车咋来的?我代码里面写的,方便大家来抓dump的)

再来实验一下,查看全部托管线程代码,命令:~* e!clrstack,就是波浪线+星号+空格+e+叹号+clrstack,大家自己实验一下吧!

这个帖子太长了,另开一个,我们开始看另外几个命令)

posted @ 2008-01-02 13:09 鞠强 阅读(...) 评论(...) 编辑 收藏

hello

world