NT！KiFastCallEntry或NT！ZwYieldExecution + 0xa30

-1

「RDMSR 176」在WinDbg中在本地機器上的內核調試模式給出NT！KiFastCallEntry或NT！ZwYieldExecution + 0xa30

MSR [176] = 00000000`82c3f8d0

然而拆卸功能在82c3fsd0給！NT ZwYieldExecution + 0aa30而不是！NT KiFastCallEntry

有什麼錯嗎？

2015-08-23 user1232138

有什麼地址' KiFastCallEntry'？請注意，來自'ZwYieldExecution'的大量偏移意味着它可能不是那個函數，它只是反彙編程序可以找到的最近的標籤。 – Jester

是你的符號吧？ lkd> .foreach/pS 2（place {rdmsr 176}）{u place l2} nt！KiFastCallEntry： 8053d560 b923000000 mov ecx，23h 8053d565 6a30 push 30h lkd> – blabb

它看起來像彙編指令是正確的，他們從我的測試系統的結果相符：

kd> rdmsr 176 
msr[176] = 00000000`81928230 
kd> u 81928230 
nt!KiFastCallEntry: 
81928230 b923000000  mov  ecx,23h 
81928235 6a30   push 30h 
81928237 0fa1   pop  fs 
81928239 8ed9   mov  ds,cx 
8192823b 8ec1   mov  es,cx 
8192823d 648b0d40000000 mov  ecx,dword ptr fs:[40h] 
81928244 8b6104   mov  esp,dword ptr [ecx+4] 
81928247 6a23   push 23h

嘗試重裝符號，並看看是否有幫助：

kd> .symfix 
kd> .reload

來源

2015-08-25 14:01:47 snoone

NT！KiFastCallEntry或NT！ZwYieldExecution + 0xa30

回答

相關問題