傾銷EPROCESS與windbg

Question

我正在試驗LibVMI和Windows 7 32位;爲了正確設置，我需要查看EPROCESS結構的前8個字節（庫搜索內存中的幻數，這應該是它）。

我的Windows-fu功能不強，所以任何人都可以告訴我如何轉儲適當的內存位？我正在運行本地內核調試程序，並且儘可能使用「dt nt！_EPROCESS」，但它似乎只顯示了結構的格式，而不是實際內容。

Answer 1

的命令是：

dt nt!_EPROCESS <address> 

您應該能夠從!process 0 7的輸出獲取地址。

Answer 2

我明白了 - 塞瓦蒂托夫的答案與我所做的相似。以下是我做的：

!process 0 0

這給我的正在運行的進程的短名單;我曾專門開始的calc.exe有一個簡單的小程序去，所以我看了看錶，然後跑：

!process calc.exe

輸出的第一行開始像PROCESS 83f81178這是重要的一點。然後我做：

db 83f81178

這表明我的內存塊起始於該偏移，看起來像這樣：

83f81178 03 00 26 00 00 00 00 00--80 11 f8 83 80 11 f8 83 ..&............ 83f81188 88 11 f8 83 88 11 f8 83--80 23 e2 3e 00 00 00 00 ........#.>....

這就是我需要的東西，所以我停止那裏。