收到阿杰 🤝，你是新手，我给你写一份 WinDbg 超详细教程（面向零基础），从安装到调试实战，一步步带你走。放心，不会“硬核压你”，而是循序渐进。

WinDbg 使用超详细教程（新手友好版）

1. WinDbg 是什么？

WinDbg（Windows Debugger）是微软官方提供的 强大调试工具，主要用于：

  • 分析崩溃（蓝屏/程序崩溃 dump）
  • 调试内核/驱动
  • 调试用户态应用程序
  • 逆向分析和安全研究

对开发者来说，最常见用途：

  1. 程序 crash → 用 dump 文件查原因
  2. 调试难以复现的 bug
  3. 学习底层原理

2. 安装 WinDbg

方法一：安装 Windows SDK（推荐）

  1. 前往 Microsoft 官方下载页面
  2. 选择 Debugging Tools for Windows
  3. 安装完成后，会在开始菜单看到 WinDbg (x64)

方法二：Microsoft Store（新版 WinDbg Preview）

  • 在 Microsoft Store 搜索 WinDbg Preview
  • 功能更现代，但界面和操作与经典版略有差别

3. 基本界面介绍

打开 WinDbg (x64) 后，你会看到：

  • 菜单栏 / 工具栏：打开 dump 文件、附加进程、调试命令
  • 命令窗口（Command）：输入调试命令的地方（核心）
  • 内存 / 寄存器窗口：查看 CPU 寄存器、内存、调用堆栈
  • 输出窗口：WinDbg 的提示和输出信息

👉 新手重点记住：调试命令都在命令窗口输入。

4. 常见调试场景

4.1 分析程序崩溃 dump

  1. 先获取一个 .dmp 文件（例如程序崩溃生成的 dump）。
    • Windows 自带：C:\Windows\Minidump 里有蓝屏 dump
    • 程序崩溃：任务管理器 → 右键进程 → 创建转储文件
  2. 打开 dump：File → Open Crash Dump → 选择 .dmp 文件
  3. 输入命令：!analyze -v 👉 会输出 崩溃原因（异常代码、出错模块、调用堆栈）。

4.2 附加到正在运行的进程

  1. 打开程序（比如 notepad.exe）。
  2. 在 WinDbg：File → Attach to a Process → 选择 notepad.exe
  3. 程序暂停，你可以用命令调试。

4.3 调试常用命令

命令用途
!analyze -v分析崩溃 dump
k / kb / kp查看调用堆栈
lm列出加载的模块
!peb查看进程环境块（PEB）
!teb查看线程环境块（TEB）
~列出线程
~0s切换到线程 0
!handle查看句柄
dd <地址>查看内存（以 DWORD 方式）
u <地址>反汇编代码
g继续运行
bp <地址/函数>设置断点
bl列出断点
bd / be禁用 / 启用断点
bc <id>删除断点
q退出 WinDbg

5. 实战示例

示例：调试一个崩溃的程序

假设有一个程序 crash，生成了 crash.dmp：

0:000> !analyze -v
EXCEPTION_CODE: (0xc0000005) Access violation
FAULTING_MODULE: myapp.exe
STACK_TEXT:  
0041f2a4 myapp!doSomething+0x24
0041f2c0 myapp!main+0x10
...

解释：

  • 异常代码 0xc0000005 → 访问非法内存
  • 出错模块 → myapp.exe
  • 调用栈显示崩溃发生在 doSomething() 里

👉 你就能快速定位到问题函数。

6. 新手学习路径

  1. 第一步：熟悉命令
    • 多练 !analyze -v、k、lm、u
  2. 第二步：读调用栈
    • 重点看崩溃点附近的函数
  3. 第三步：调试运行中程序
    • 学会 attach → 下断点 → 单步调试
  4. 第四步：深入内存与寄存器
    • 学会 dd、u、r（查看寄存器）

7. 常见坑点

  • 符号文件（PDB）缺失 → 分析栈信息不全
    ✅ 在 WinDbg 输入：.symfix .reload 会自动下载微软符号
  • dump 文件太小 → 建议生成 完整内存转储（更详细）

8. 学习资源

✅ 总结一句话：
WinDbg = 程序崩溃急救箱 + 底层学习神器。
新手先学 !analyze -v + k（调用栈），再逐步进阶。