能力值：
( LV4，RANK：50 )
2 楼
0:000> ?
Open debugger.chm for complete debugger documentation
B[C|D|E][<bps>] - clear/disable/enable breakpoint(s)
BL - list breakpoints
BA <access> <size> <addr> - set processor breakpoint
BP <address> - set soft breakpoint
D[type][<range>] - dump memory
DT [-n|y] [[mod!]name] [[-n|y]fields]
[address] [-l list] [-a[]|c|i|o|r[#]|v] - dump using type information
DV [<name>] - dump local variables
E[type] <address> [<values>] - enter memory values
G[H|N] [=<address> [<address>...]] - go
K <count> - stacktrace
KP <count> - stacktrace with source arguments
LM[k|l|u|v] - list modules
LN <expr> - list nearest symbols
P [=<addr>] [<value>] - step over
Q - quit
R [[<reg> [= <expr>]]] - view or set registers
S[<opts>] <range> <values> - search memory
SX [{e|d|i|n} [-c "Cmd1"] [-c2 "Cmd2"] [-h] {Exception|Event|*}] - event filter
T [=<address>] [<expr>] - trace into
U [<range>] - unassemble
version - show debuggee and debugger version
X [<*|module>!]<*|symbol> - view symbols
? <expr> - display expression
?? <expr> - display C++ expression
$< <filename> - take input from a command file
Hit Enter...
<expr> unary ops: + - not by wo dwo qwo poi hi low
binary ops: + - * / mod(%) and(&) xor(^) or(|)
comparisons: == (=) < > !=
operands: number in current radix, public symbol, <reg>
<type> : b (byte), w (word), d[s] (doubleword [with symbols]),
a (ascii), c (dword and Char), u (unicode), l (list)
f (float), D (double), s|S (ascii/unicode string)
q (quadword)
<pattern> : [(nt | <dll-name>)!]<var-name> (<var-name> can include ? and *)
<range> : <address> <address>
: <address> L <count>
User-mode options:
~ - list threads status
~#s - set default thread
| - list processes status
|#s - set default process
x86 options:
DG <selector> - dump selector
<reg> : [e]ax, [e]bx, [e]cx, [e]dx, [e]si, [e]di, [e]bp, [e]sp, [e]ip, [e]fl,
al, ah, bl, bh, cl, ch, dl, dh, cs, ds, es, fs, gs, ss
dr0, dr1, dr2, dr3, dr6, dr7
fpcw, fpsw, fptw, st0-st7, mm0-mm7
xmm0-xmm7
<flag> : iopl, of, df, if, tf, sf, zf, af, pf, cf
<addr> : #<16-bit protect-mode [seg:]address>,
&<V86-mode [seg:]address>
Open debugger.chm for complete debugger documentation
能力值：
( LV4，RANK：50 )
3 楼
CMD
能力值：
( LV4，RANK：50 )
4 楼
0:000> u
能力值：
( LV4，RANK：50 )
5 楼
C:\WINDOWS\system32>debug notepad.exe
能力值：
( LV4，RANK：50 )
6 楼
0:000> r
能力值：
( LV4，RANK：50 )
7 楼
CommandLine: C:\WINDOWS\system32\notepad.exe
能力值：
( LV4，RANK：50 )
8 楼
DLL初学者指南(非MFC)
作者：Notsosuperhero
译者：小刀人
环境： Visual C++ 2003, Windows
源代码下载：DLL_Project.rar -DLL Project的源代码及测试项目
原文出处： codeguru
我正在学习DLLs，谈不上对其有什么高屋建瓴的见解;本文只是（通过）编码让你看到并想知道代码是如何运行的。在本文中，我假定你知道如何使用你的编译器特性，比如设置目录路径等等。
为了建立项目，请选择Win32 控制台项目（Win32 Console Application），并且在应用程序设置标签（the advanced tab）上，选择DLL和空项目选项。DLLs可能并不如你想像的那样难。首先写你的头文件（header file）；称为DLLTutorial.h。这个文件与其它头文件一样，其中只是一些函数的原型。
#ifndef _DLL_TUTORIAL_H_#define _DLL_TUTORIAL_H_#include <iostream>
#if defined DLL_EXPORT#define DECLDIR __declspec(dllexport)#else#define DECLDIR __declspec(dllimport)#endif
extern "C"{ DECLDIR int Add( int a, int b ); DECLDIR void Function( void );}#endif
前面两行指示编译器只包含这个文件一次。extern "C"告诉编译器该部分可以在C/C++中使用。
在VC++中这里有两个方法来导出函数：
1、使用__declspec，一个Microsoft定义的关键字。
2、创建一个模块定义文件(Module-Definition File即.DEF)。第一种方法稍稍比第二种方法简单些，但两种都工作得很好。
__declspec(dllexport)导出函数符号到在你的DLL中的一个存储类。当下面一行被定义时我定义DECLDIR来运行这个函数，
#define DLL_EXPORT
同时也导入函数如果下面一行
#define DLL_EXPORT
没有在源文件中出现。在此情况下，你将导出函数Add（int a, int b)和Function()。
现在，你需要写一个将要称为DLLTutorial.cpp的源文件。
#include <iostream>#include "DLL_Tutorial.h"
#define DLL_EXPORT
extern "C"{ DECLDIR int Add( int a, int b ) { return( a + b ); }
DECLDIR void Function( void ) { std::cout << "DLL Called!" << std::endl; }
}
这里你定义了（DLL中的）所有函数。Int Add(int a, int b)只简单地将两个数相加而void Function(void)只是在你的DLL被调用时（将信息）通知你。在我像你展示如何使用DLL前，我想告诉你一些关于模块定义文件（.def）的内容。
模块定义文件（.def）
模块定义文件是一个有着.def文件扩展名的文本文件。它被用于导出一个DLL的函数，和__declspec(dllexport)很相似，但是.def文件并不是Microsoft定义的。一个.def文件中只有两个必需的部分：LIBRARY 和 EXPORTS。让我们先看一个基本的.def文件稍后我将解析之。
LIBRARY dll_tutorialDESCRIPTION "our simple DLL"EXPORTS Add @1 Function @2
第一行，''LIBRARY''是一个必需的部分。它告诉链接器（linker）如何命名你的DLL。下面被标识为''DESCRIPTION''的部分并不是必需的，但是我喜欢把它放进去。该语句将字符串写入 .rdata 节[据 MSDN]，它告诉人们谁可能使用这个DLL，这个DLL做什么或它为了什么（存在）。再下面的部分标识为''EXPORTS''是另一个必需的部分；这个部分使得该函数可以被其它应用程序访问到并且它创建一个导入库。当你生成这个项目时，不仅是一个.dll文件被创建，而且一个文件扩展名为.lib的导出库也被创建了。除了前面的部分以外，这里还有其它四个部分标识为：NAME, STACKSIZE, SECTIONS, 和 VERSION。我将不再在本文中涉及这些内容，但是如果你在Internet上搜索，我想你将找到一些东西（译注： MSDN2003上对模板定义文件各部分内容有详尽解释，请参阅）。另外，一个分号(;)开始一个注解，如同''//''在C++中一样。
现在你已经创建了你的DLL，你需要学习如何在一个应用程序中使用它了。当这个DLL被生成后，它创建了一个.dll文件和一个.lib文件；这两个都是你需要的。
隐式链接
这里有两个方法来载入一个DLL；一个方法是捷径另一个则相比要复杂些。捷径是只链接到你.lib 文件并将.dll文件置入你的新项目的路径中去。因此，创建一个新的空的Win32控制台项目并添加一个源文件。将你做的DLL放入你的新项目相同的目录下。
#include <iostream>#include <DLLTutorial.h>
int main(){ Function(); std::cout << Add(32, 58) << "\n"; return(1);}
你必需要链接到DLLTutorial.lib文件。我在项目属性中设置了，但是你可能会用下面的语句代替：
#pragma comment(lib, "DLLTutorial.lib")
请注意我让编译器来查看我的DLL文件夹已获得.lib文件同时让它顺便看下该目录中的DLL头文件。如果你不想这么做，你可以总是把他们放入你的新项目的目录中并使用""（引号）而不是<>。这就是载入一个DLL的简单方法。
显示链接
难点的加载DLL的方法是有稍微有点复杂的。你将需要函数指针和一些Windows函数。但是，通过这种载入DLLs的方法，你不需要DLL的.lib或头文件，而只需要DLL。下面列出一些代码，我稍后将解析之。
#include <iostream>#include <windows.h>
typedef int (*AddFunc)(int,int);typedef void (*FunctionFunc)();int main(){ AddFunc _AddFunc; FunctionFunc _FunctionFunc; HINSTANCE hInstLibrary = LoadLibrary("DLL_Tutorial.dll");
if (hInstLibrary == NULL) { FreeLibrary(hInstLibrary); } _AddFunc = (AddFunc)GetProcAddress(hInstLibrary, "Add");
_FunctionFunc = (FunctionFunc)GetProcAddress(hInstLibrary, "Function");
if ((_AddFunc == NULL) || (_FunctionFunc == NULL)) { FreeLibrary(hInstLibrary); }
std::cout << _AddFunc(23, 43) << std::endl; _FunctionFunc();
std::cin.get();
FreeLibrary(hInstLibrary);
return(1); }
首先你会注意到：这里包括进了文件“windows.h”同时移走了“DLL_Tutorial.h”。原因很简单：因为windows.h包含了一些Windows函数，当然你现在将只需要其中几个而已。它也包含了一些将会用到的Windows特定变量。你可以去掉DLL的头文件（DLL_Tutorial.h）因为－如我前面所说－当你使用这个方法载入DLL时你并不需要它。
下面你会看到：以下面形式的一小块古灵精怪的代码:
typedef int (*AddFunc)(int,int);
typedef void (*FunctionFunc)();
这是函数指针。因为这是一个关于DLL的自学指南，深入探究函数指针超出了本指南的范围；因此，现在我们只把它们当作DLL包含的函数的别名。我喜欢在尾部用“Func”命名之。(int,int)部分是这个函数的参数部分，比如，Add函数要获得两个整数；因此，你需要它们（译注：指(int,int)部分）作为函数指针的参数。Function函数没有参数，因此你让它为空。main()部分中的前面两行是声明函数指针以使得你可以认为它们等同于DLL内部的函数。我只是喜欢预先定义它们。
一个HINSTANCE是一个Windows数据类型：是一个实例的句柄；在此情况下，这个实例将是这个DLL。你可以通过使用函数LoadLibrary()获得DLL的实例，它获得一个名称作为参数。在调用LoadLibrary函数后，你必需查看一下函数返回是否成功。你可以通过检查HINSTANCE是否等于NULL（在Windows.h中定义为0或Windows.h包含的一个头文件）来查看其是否成功。如果其等于NULL，该句柄将是无效的，并且你必需释放这个库。换句话说，你必需释放DLL获得的内存。如果函数返回成功，你的HINSTANCE就包含了指向DLL的句柄。
一旦你获得了指向DLL的句柄，你现在可以从DLL中重新获得函数。为了这样作，你必须使用函数GetProcAddress()，它将DLL的句柄（你可以使用HINSTANCE）和函数的名称作为参数。你可以让函数指针获得由GetProcAddress()返回的值，同时你必需将GetProcAddress()转换为那个函数定义的函数指针。举个例子，对于Add()函数，你必需将GetProcAddress()转换为AddFunc；这就是它知道参数及返回值的原因。现在，最好先确定函数指针是否等于NULL以及它们拥有DLL的函数。这只是一个简单的if语句；如果其中一个等于NULL，你必需如前所述释放库。
一旦函数指针拥有DLL的函数，你现在就可以使用它们了，但是这里有一个需要注意的地方：你不能使用函数的实际名称；你必需使用函数指针来调用它们。在那以后，所有你需要做的是释放库如此而已。
现在你知道了DLL的一些基本知识。你知道如何创建它们，你也知道如何用两种不同的方法链接它们。这里仍然有更多的东西需要我们学习，但我把它们留给你们自己探索了和更棒的作者来写了。
作者
我爱弹吉他，我也爱编程。 没别的了啊，我的生活可“真乏味”，:)
能力值：
( LV4，RANK：50 )
9 楼
浅析本机API
能力值：
( LV4，RANK：50 )
10 楼
打开NTDLL.dll,惊奇的发现原来CRT的许多基本函数居然都是在这里实现的！甚至包括qsort,ceil这样的函数，还有臭名昭著的strcpy（严格来讲，这只能怪使用者不当心）。堆的释放，进城管理，似乎都是在这。于是，我决定，仔细察看以下它，这1410个函数是做什么的
能力值：
( LV4，RANK：50 )
11 楼
ntdll.dll ====WINXP 的，用NOTEPAD.exe打开，1000多个API？
能力值：
( LV4，RANK：50 )
12 楼
Microsoft (R) Windows Debugger Version 6.9.0003.113 X86
能力值：
( LV4，RANK：50 )
13 楼
用NTSD 符号表不行？
能力值：
( LV4，RANK：50 )
14 楼
用Dll函数查看器V2.0 [I][QUOTE][/QUOTE]WINDOWXP NTDLL.dll[/I]
能力值：
( LV4，RANK：50 )
15 楼
confused:
可惜这工具不能全部复制1315个函数
[/QUOTE][QUOTE=lilianjie;492429]用Dll函数查看器V2.0
WINDOWXP NTDLL.dll全部函数1315个！
0:000> wt
Tracing ntdll!DbgBreakPoint to return address 7c941639
6 0 [ 0] ntdll!RtlInitializeSListHead...[/QUOTE]
上传的附件：
能力值：
( LV4，RANK：50 )
16 楼
NTSD PING：
Microsoft (R) Windows Debugger Version 6.9.0003.113 X86
Copyright (c) Microsoft Corporation. All rights reserved.
CommandLine: ping
Symbol search path is: *** Invalid ***
****************************************************************************
* Symbol loading may be unreliable without a symbol search path. *
* Use .symfix to have the debugger choose a symbol path. *
* After setting your symbol path, use .reload to refresh symbol locations. *
****************************************************************************
Executable search path is:
ModLoad: 01000000 01008000 ping.exe
ModLoad: 7c920000 7c9b4000 ntdll.dll
ModLoad: 7c800000 7c91d000 C:\WINDOWS\system32\kernel32.dll
ModLoad: 77be0000 77c38000 C:\WINDOWS\system32\msvcrt.dll
ModLoad: 77da0000 77e49000 C:\WINDOWS\system32\ADVAPI32.dll
ModLoad: 77e50000 77ee2000 C:\WINDOWS\system32\RPCRT4.dll
ModLoad: 77fc0000 77fd1000 C:\WINDOWS\system32\Secur32.dll
ModLoad: 76d30000 76d48000 C:\WINDOWS\system32\iphlpapi.dll
ModLoad: 77d10000 77da0000 C:\WINDOWS\system32\USER32.dll
ModLoad: 77ef0000 77f37000 C:\WINDOWS\system32\GDI32.dll
ModLoad: 71a20000 71a37000 C:\WINDOWS\system32\WS2_32.dll
ModLoad: 71a10000 71a18000 C:\WINDOWS\system32\WS2HELP.dll
(82c.d50): Break instruction exception - code 80000003 (first chance)
eax=00191eb4 ebx=7ffde000 ecx=00000002 edx=00000004 esi=00191f48 edi=00191eb4
eip=7c921230 esp=0007fb20 ebp=0007fc94 iopl=0 nv up ei pl nz na po nc
cs=001b ss=0023 ds=0023 es=0023 fs=003b gs=0000 efl=00000202
*** ERROR: Symbol file could not be found. Defaulted to export symbols for ntdl
l.dll -
ntdll!DbgBreakPoint:
7c921230 cc int 3
0:000> g
ModLoad: 5cc30000 5cc56000 C:\WINDOWS\system32\ShimEng.dll
ModLoad: 58fb0000 5917a000 C:\WINDOWS\AppPatch\AcGenral.DLL
ModLoad: 76b10000 76b3a000 C:\WINDOWS\system32\WINMM.dll
ModLoad: 76990000 76acd000 C:\WINDOWS\system32\ole32.dll
ModLoad: 770f0000 7717b000 C:\WINDOWS\system32\OLEAUT32.dll
ModLoad: 77bb0000 77bc5000 C:\WINDOWS\system32\MSACM32.dll
ModLoad: 77bd0000 77bd8000 C:\WINDOWS\system32\VERSION.dll
ModLoad: 7d590000 7dd84000 C:\WINDOWS\system32\SHELL32.dll
ModLoad: 77f40000 77fb6000 C:\WINDOWS\system32\SHLWAPI.dll
ModLoad: 759d0000 75a7e000 C:\WINDOWS\system32\USERENV.dll
ModLoad: 5adc0000 5adf7000 C:\WINDOWS\system32\UxTheme.dll
ModLoad: 76300000 7631d000 C:\WINDOWS\system32\IMM32.DLL
ModLoad: 62c20000 62c29000 C:\WINDOWS\system32\LPK.DLL
ModLoad: 73fa0000 7400b000 C:\WINDOWS\system32\USP10.dll
ModLoad: 77180000 77283000 C:\WINDOWS\WinSxS\x86_Microsoft.Windows.Common-Cont
rols_6595b64144ccf1df_6.0.2600.2982_x-ww_ac3f9c03\comctl32.dll
ModLoad: 5d170000 5d20a000 C:\WINDOWS\system32\comctl32.dll
ModLoad: 00930000 00959000 C:\WINDOWS\system32\ClientMain.dll
Usage: ping [-t] [-a] [-n count] [-l size] [-f] [-i TTL] [-v TOS]
[-r count] [-s count] [[-j host-list] | [-k host-list]]
[-w timeout] target_name
Options:
-t Ping the specified host until stopped.
To see statistics and continue - type Control-Break;
To stop - type Control-C.
-a Resolve addresses to hostnames.
-n count Number of echo requests to send.
-l size Send buffer size.
-f Set Don't Fragment flag in packet.
-i TTL Time To Live.
-v TOS Type Of Service.
-r count Record route for count hops.
-s count Timestamp for count hops.
-j host-list Loose source route along host-list.
-k host-list Strict source route along host-list.
-w timeout Timeout in milliseconds to wait for each reply.
eax=00000000 ebx=00000000 ecx=7c800000 edx=7c99c080 esi=7c92e88e edi=00000001
eip=7c92eb94 esp=0007f8e0 ebp=0007f9dc iopl=0 nv up ei pl zr na pe nc
cs=001b ss=0023 ds=0023 es=0023 fs=003b gs=0000 efl=00000246
ntdll!KiFastSystemCallRet:
7c92eb94 c3 ret
0:000>
------------------------------
WINDBG PING INT3正好一个字符没显
上传的附件：
能力值：
( LV2，RANK：10 )
17 楼
无语！！！！
能力值：
( LV2，RANK：10 )
18 楼
分析的好详细啊
能力值：
( LV4，RANK：45 )
19 楼
消失吧
要闭关了
能力值：
( LV13，RANK：410 )
20 楼
你没有看过贴吧。
能力值：
( LV2，RANK：10 )
21 楼
什么啊？一点看不懂，一头雾水。
可惜这工具不能全部复制1315个函数
消失吧
