如何檢查windbg中特定調用堆棧幀上的寄存器值

Question

我正在調查WinDBG中的Windows轉儲文件。我可以通過命令.frame來切換調用堆棧幀，但是我發現寄存器始終包含最後一個上下文。 我的意思是，如果有可能恢復屬於特定調用堆棧框架的上下文不屬於上下文的上下文？

Answer 1

如果您正在調試的64位的目標，你可以使用：

.frame /r 

要在幀查看寄存器。該信息基於圖像中的展開數據，因此非常可靠。您還可以更改上下文：

.frame /c 

在x86上，沒有展開信息，所以此技巧無法使用。 .frame仍然會向你顯示寄存器的內容，但它不太可能是正確的（它基本上只是運氣正確）。

Answer 2

請嘗試findthis.py，這是通過分解調用堆棧中每個幀的序言來獲得CFI（調用幀信息）的一種方式。

http://nick.luckygarden.org/find-this-ptr-within-a-callstack-in-a-dump-file/