如何在 64 位转储中引用 32 位整数数据

Question

如果我在 64 位 .Net 进程转储的已知内存地址处有一个 System.Int32，我如何在 windbg 的条件或表达式中引用它的数据？例如：

? poi(000000ba2e4de938) == 0n27 显示为 0 而不是 1，即使我知道该地址的值是 27（dt int 000000ba2e4de938 显示 0n27）。它这样做是因为它在我试图访问的值之后拾取了 32 个垃圾位，因为 poi 获取了指针大小的数据。

有没有办法获取特定大小的数据以在表达式中使用？到目前为止，我只找到了转储数据的方法，但没有在表达式或条件中使用它。

Answer 1

简短回答：使用 dwo(...) 表示 32 位，qwo(...) 表示 64 位，poi(...) 表示架构相关大小。

长答案：

先来看一个带SOS的Int32:

0:014> .symfix
0:014> .reload
0:014> .loadby sos clr
0:006> !name2ee *!System.Int32
Module:      000007feecab1000
Assembly:    mscorlib.dll
Token:       00000000020000f0
MethodTable: 000007feed1603d0
EEClass:     000007feecb71810
Name:        System.Int32
[...]
0:006> !dumpheap -mt 000007feed1603d0
         Address               MT     Size
00000000028376d8 000007feed1603d0       24 

0:006> !do 00000000028376d8 
Name:        System.Int32
MethodTable: 000007feed1603d0
EEClass:     000007feecb71810
Size:        24(0x18) bytes
File:        C:\Windows\Microsoft.Net\assembly\GAC_64\mscorlib\v4.0_4.0.0.0__b77a5c561934e089\mscorlib.dll
Fields:
              MT    Field   Offset                 Type VT     Attr            Value Name
000007feed1603d0  400055f        8         System.Int32  1 instance             8868 m_value

从该输出中，您可以看到 Int32 的值 (m_value) 位于对象地址 + 偏移量 8 处。

Int32的长度是32位，所以我们需要dd(dump DWORD)查看内存：

0:006> dd 00000000028376d8+8 L1
00000000`028376e0  000022a4

转换成十进制就是之前SOS显示的：

0:006> ? 22a4
Evaluate expression: 8868 = 00000000`000022a4

要在条件中使用它，请使用 dwo（DWORD 大小）而不是 poi（指针大小，在 64 位上为 qwo）：

0:006> ? dwo(00000000028376d8+8)
Evaluate expression: 8868 = 00000000`000022a4

如何在 64 位转储中引用 32 位整数数据

How to reference 32bit integer data in a 64 bit dump

windbg

sos