Sintaxe de endereço e intervalo de endereços
Há várias maneiras de especificar endereços no depurador.
Os endereços são normalmente endereços virtuais, exceto quando a documentação indica especificamente outro tipo de endereço. No modo de usuário, o depurador interpreta endereços virtuais de acordo com o diretório de páginas do processo atual. No modo kernel, o depurador interpreta endereços virtuais de acordo com o diretório de página do processo especificado pelo contexto do processo. Você também pode definir diretamente o contexto de endereço do modo de usuário. Para obter mais informações sobre o contexto de endereço do modo de usuário, consulte .context (Definir contexto de endereço do modo de usuário).
Em expressões MASM, você pode usar o operador poi para desreferenciar qualquer ponteiro. Por exemplo, se o ponteiro no endereço 0x0000008e'ed57b108 apontar para o local de endereço 0x805287637256, os dois comandos a seguir serão equivalentes.
0:000> dd 805287637256
0:000> dd poi(000000bb`7ee23108)
Exemplo de endereço de memória de exibição
Para ver um exemplo de uso de poi, determine o deslocamento para o CurrentLocale do TEB (bloco de ambiente de thread). Use o comando dx para exibir @$teb, que é um exemplo de pseudo-registradores, que contêm endereços comuns, como o local atual do contador do programa.
0:000> dx @$teb
@$teb : 0x1483181000 [Type: _TEB *]
...
[+0x108] CurrentLocale : 0x409 [Type: unsigned long]
CurrentLocale é +0x108 desde o início do TEB. Em seguida, determine o endereço de memória desse local.
0:000> ? @$teb + 0x108
Evaluate expression: 613867303176 = 0000008e`ed57b108
Use poi para desreferenciar esse endereço para ver se ele contém o valor CurrentLocale de 0x409.
0:000> ? poi(0000008e`ed57b108)
Evaluate expression: 1033 = 00000000`00000409
Nas expressões do depurador C++, os ponteiros se comportam como ponteiros em C++. No entanto, os números são interpretados como inteiros. Se você tiver que deferenciar um número real, talvez seja necessário convertê-lo primeiro, como mostra o exemplo a seguir.
Para tentar isso, use .expr para definir o avaliador de expressão como C++.
0:000> .expr /s C++
Current expression evaluator: C++ - C++ source expressions
Com o avaliador de expressão definido como C++, podemos converter usando long.
0:000> d *((long*)0x00000014`83181108 )
00000000`00000409 ???????? ???????? ???????? ????????
Para obter mais informações sobre a conversão de valores numéricos, consulte Números e operadores do C++.
Se o avaliador de expressão estiver definido como c++, podemos encapsular o ponteiro poi com @@masm(), para que apenas essa parte da expressão seja avaliada pelo avaliador de expressão MASM.
0:000> .expr /s c++
Current expression evaluator: C++ - C++ source expressions
0:000> ? @@masm(poi(00000078`267d7108))
Evaluate expression: 1033 = 00000000`00000409
Para obter mais informações sobre os dois avaliadores de expressão, consulte Avaliando expressões.
Você também pode indicar um endereço em um aplicativo especificando o nome do arquivo de origem original e o número da linha. Para obter mais informações sobre como especificar essas informações, consulte Sintaxe da linha de origem.
Intervalos de endereços
Você pode especificar um intervalo de endereços por um par de endereços ou por uma contagem de endereços e objetos.
Para especificar um intervalo por um par de endereços, especifique o endereço inicial e o endereço final. Por exemplo, o exemplo a seguir é um intervalo de 8 bytes, começando no endereço 0x00001000.
0x00001000 0x00001007
Para especificar um intervalo de endereços por uma contagem de endereços e objetos, especifique um argumento de endereço, a letra L (maiúsculas ou minúsculas) e um argumento de valor. O endereço especifica o endereço inicial. O valor especifica o número de objetos a serem examinados ou exibidos. O tamanho do objeto depende do comando. Por exemplo, se o tamanho do objeto for 1 byte, o exemplo a seguir será um intervalo de 8 bytes, começando no endereço 0x00001000.
0x00001000 L8
No entanto, se o tamanho do objeto for uma palavra dupla (32 bits ou 4 bytes), os dois intervalos a seguir fornecerão um intervalo de 8 bytes.
0x00001000 0x00001007
0x00001000 L2
L Especificador de faixa de tamanho
Há duas outras maneiras de especificar o valor (o especificador de intervalo de tamanho L):
L? Tamanho (com um ponto de interrogação) significa o mesmo que LTamanho, exceto que L? O tamanho remove o limite de intervalo automático do depurador. Normalmente, há um limite de intervalo de 256 MB, pois intervalos maiores são erros tipográficos. Se você quiser especificar um intervalo maior que 256 MB, deverá usar o comando L? Sintaxe de tamanho .
L- Tamanho (com um hífen) especifica um intervalo de comprimento Tamanho que termina no endereço fornecido. Por exemplo, 80000000 L20 especifica o intervalo de 0x80000000 a 0x8000001F e 80000000 L-20 especifica o intervalo de 0x7FFFFFE0 a 0x7FFFFFFF.
Alguns comandos que solicitam intervalos de endereços aceitam um único endereço como argumento. Nessa situação, o comando usa alguma contagem de objetos padrão para calcular o tamanho do intervalo. Normalmente, os comandos para os quais o intervalo de endereços é o parâmetro final permitem essa sintaxe. Para obter a sintaxe exata e o tamanho do intervalo padrão para cada comando, consulte os tópicos de referência para cada comando.
Exemplo de intervalo de memória de pesquisa
Primeiro, determinaremos o endereço do registro do ponteiro de instrução rip usando o avaliador de expressão MASM.
0:000> ? @rip
Evaluate expression: 140720561719153 = 00007ffc`0f180771
Em seguida, pesquisaremos a partir de 00007ffc'0f180771, por 100000 usando o comando s (Search Memory). Especificamos o intervalo a ser pesquisado usando L100000.
0:000> s -a 00007ffc`0f180771 L100000 "ntdll"
00007ffc`0f1d48fa 6e 74 64 6c 6c 5c 6c 64-72 69 6e 69 74 2e 63 00 ntdll\ldrinit.c.
00007ffc`0f1d49c2 6e 74 64 6c 6c 5c 6c 64-72 6d 61 70 2e 63 00 00 ntdll\ldrmap.c..
00007ffc`0f1d4ab2 6e 74 64 6c 6c 5c 6c 64-72 72 65 64 69 72 65 63 ntdll\ldrredirec
00007ffc`0f1d4ad2 6e 74 64 6c 6c 5c 6c 64-72 73 6e 61 70 2e 63 00 ntdll\ldrsnap.c.
...
Também podemos especificar o mesmo intervalo como este usando dois endereços de memória.
0:000> s -a 0x00007ffc`0f180771 0x00007ffc`0f280771 "ntdll"
00007ffc`0f1d48fa 6e 74 64 6c 6c 5c 6c 64-72 69 6e 69 74 2e 63 00 ntdll\ldrinit.c.
00007ffc`0f1d49c2 6e 74 64 6c 6c 5c 6c 64-72 6d 61 70 2e 63 00 00 ntdll\ldrmap.c..
00007ffc`0f1d4ab2 6e 74 64 6c 6c 5c 6c 64-72 72 65 64 69 72 65 63 ntdll\ldrredirec
00007ffc`0f1d4ad2 6e 74 64 6c 6c 5c 6c 64-72 73 6e 61 70 2e 63 00 ntdll\ldrsnap.c.
...
Por fim, podemos pesquisar para trás no intervalo de memória usando o parâmetro L-length.
0:000> s -a 00007ffc`0f1d4ad2 L-100000 "ntdll"
00007ffc`0f1d48fa 6e 74 64 6c 6c 5c 6c 64-72 69 6e 69 74 2e 63 00 ntdll\ldrinit.c.
00007ffc`0f1d49c2 6e 74 64 6c 6c 5c 6c 64-72 6d 61 70 2e 63 00 00 ntdll\ldrmap.c..
00007ffc`0f1d4ab2 6e 74 64 6c 6c 5c 6c 64-72 72 65 64 69 72 65 63 ntdll\ldrredirec
Exemplo de desmontagem de memória
Este exemplo usa o comando u (desmontar) e o parâmetro L para desmontar três bytes de código.
0:000> u 00007ffc`0f1d48fa L3
ntdll!`string'+0xa:
00007ffc`0f1d48fa 6e outs dx,byte ptr [rsi]
00007ffc`0f1d48fb 7464 je ntdll!`string'+0x21 (00007ffc`0f1d4961)
00007ffc`0f1d48fd 6c ins byte ptr [rdi],dx
Ou especifique um intervalo de três bytes de memória para desmontar assim.
0:000> u 00007ffc`0f1d48fa 00007ffc`0f1d48fd
ntdll!`string'+0xa:
00007ffc`0f1d48fa 6e outs dx,byte ptr [rsi]
00007ffc`0f1d48fb 7464 je ntdll!`string'+0x21 (00007ffc`0f1d4961)
00007ffc`0f1d48fd 6c ins byte ptr [rdi],dx
Modos de endereço e suporte a segmentos
Em plataformas baseadas em x86, o CDB e o KD dão suporte aos seguintes modos de endereçamento. Esses modos são diferenciados por seus prefixos.
| Prefix | Nome | Tipos de endereço |
|---|---|---|
| % | flat | Endereços de 32 bits (também seletores de 16 bits que apontam para segmentos de 32 bits) e endereços de 64 bits em sistemas de 64 bits. |
| & | virtual 86 | Endereços em modo real. Somente baseado em x86. |
| # | sem formatação | Endereços em modo real. Somente baseado em x86. |
A diferença entre os modos simples e virtual 86 é que um endereço simples de 16 bits usa o valor do segmento como seletor e procura o descritor de segmento. Mas um endereço 86 virtual não usa seletores e, em vez disso, mapeia diretamente para o 1 MB inferior.
Se você acessar a memória por meio de um modo de endereçamento que não seja o modo padrão atual, poderá usar os prefixos do modo de endereço para substituir o modo de endereço atual.
Argumentos de endereço
Os argumentos de endereço especificam a localização de variáveis e funções. A tabela a seguir explica a sintaxe e o significado dos vários endereços que você pode usar no CDB e no KD.
| Sintaxe | Significado |
|---|---|
deslocamento |
O endereço absoluto no espaço de memória virtual, com um tipo que corresponde ao modo de execução atual. Por exemplo, se o modo de execução atual for de 16 bits, o deslocamento será de 16 bits. Se o modo de execução for segmentado de 32 bits, o deslocamento será segmentado de 32 bits. |
&[[ segmento:]] deslocamento |
O endereço real. baseado em x86 e x64. |
%segmento:[[ deslocamento]] |
Um endereço segmentado de 32 bits ou 64 bits. baseado em x86 e x64. |
%[[ deslocamento]] |
Um endereço absoluto (32 bits ou 64 bits) no espaço de memória virtual. baseado em x86 e x64. |
nome[[ +|− ]] deslocamento |
Um endereço simples de 32 bits ou 64 bits. nome pode ser qualquer símbolo. offset especifica o deslocamento. Esse deslocamento pode ser qualquer modo de endereço que seu prefixo indicar. Nenhum prefixo especifica um endereço de modo padrão. Você pode especificar o deslocamento como um valor positivo (+) ou negativo (−). |
Use o comando dg (Seletor de exibição) para exibir as informações do descritor de segmento.
Confira também
Para exibir informações sobre a memória, use o comando !address .
Para pesquisar na memória, use o comando s (Memória de pesquisa).
Para exibir o conteúdo da memória, use o comando d, da, db, dc, dd, dD, df, dp, dq, du, dw (Exibir memória ).
Para obter informações sobre como você pode exibir e editar a memória usando uma janela de memória, consulte Usando uma janela de memória.