WinDbg常用命令系列---检查符号X

x (Examine Symbols)

x命令在所有与指定模式匹配的上下文中显示符号。

x [Options] Module!Symbol
x [Options] *

参数：

• Options
  特定符号搜索选项。您可以使用以下一个或多个选项：
  /0
  只显示每个符号的地址。

  /1
  只显示每个符号的名称。

  /2
  只显示每个符号 (而非数据类型) 的地址和名称。

  /D
  使用调试器标记语言显示输出。

  /t
  如果数据类型已知, 则显示每个符号的数据类型。

  /v
  显示每个符号的符号类型 (本地、全局、参数、函数或未知)。 此选项还显示每个符号的大小。 函数符号的大小是内存中函数的大小。 其他符号的大小是该符号表示的数据类型的大小。 大小始终以字节为单位进行度量并以十六进制格式显示。

  /s 大小
  仅显示大小 (以字节为单位) 等于大小值的符号。 函数符号的大小是内存中函数的大小。 其他符号的大小是该符号表示的数据类型的大小。 始终显示大小无法确定的符号。 大小必须为非零整数。

  /q
  显示带引号格式的符号名称。

  /p
  当调试器显示函数名称及其参数时, 省略左括号前的空格。 如果要将函数名称和自变量从x显示复制到其他位置, 这种类型的显示可以简化。

  /f
  显示函数的数据大小。

  /d
  显示数据的数据大小。

  /a
  按地址对显示按升序排序。

  /A
  按地址降序排序。

  /n
  按名称对显示顺序进行升序排序。

  /N
  按名称对显示顺序按降序排序。

  /z
  按大小以升序对显示进行排序。

  /Z
  按大小降序排序显示。

• Module
  指定搜索模块。这个模块可以是EXE，DLL，或SYS文件。模块可以包含野生动物特性和规格的多样性。
  
• Symbol
  指定符号必须包含的模式。符号可以包含各种通配符和说明符。由于此模式与符号匹配，因此匹配不区分大小写，并且单个前导下划线（u）表示任何数量的前导下划线。可以在符号中添加空格，以便可以指定包含空格的符号名称（例如“operator new”或“template<a，b>”），而不使用通配符。

环境：

模式	用户模式, 内核模式
目标	实时, 故障转储
平台	全部

以下命令将查找 MyModule 中包含字符串 "spin" 的所有符号。

0:000> x mymodule!*spin*

以下命令快速查找 MyModule 中的 "DownloadMinor" 和 "DownloadMajor" 符号。

0:000> x mymodule!downloadm??or

你还可以使用以下命令显示 MyModule 中的所有符号。

0:000> x mymodule!*

上述命令还强制调试器重载 MyModule 中的符号信息。 如果要使用最小显示重载模块中的符号, 请使用以下命令。

0:000> x mymodule!*start*

几个符号始终包含字符串 "start"。 因此, 前面的命令将始终显示某些输出, 以验证该命令是否正常工作。 但前面的命令避免了过多的显示长度x mymodule*! 。

显示显示每个符号的起始地址和完整符号名称。 如果符号是函数名称, 则该显示还包含其参数类型的列表。 如果符号是全局变量, 则显示其当前值。

X命令有一种特殊情况。 若要显示当前上下文的所有局部变量的地址和名称, 请使用以下命令。

0:000> x *

请注意   , 在大多数情况下, 除非已加载私有符号, 否则不能访问局部变量。  若要显示局部变量的值, 请使用dv (显示局部变量)命令。

下面的示例演示 /0、 /1和 /2选项。

0:000:x86> x /0 MyApp!Add*
00b51410
00b513d0 

0:000:x86> x /1 MyApp!Add*
MyApp!AddThreeIntegers
MyApp!AddTwoIntegers

0:000:x86> x /2 MyApp!Add*
00b51410          MyApp!AddThreeIntegers
00b513d0          MyApp!AddTwoIntegers

如果要使用x命令的输出作为foreach命令的输入, 则 /0、 /1和 /2选项非常有用。

.foreach ( place { x /0 MyApp!*MySym*} ) { .echo ${place}+0x18 }

下面的示例演示用于在模块 notepad.exe 上筛选函数的开关 /f 。

0:000> x /f /v notepad!*main*
prv func   00000001`00003340  249 notepad!WinMain (struct HINSTANCE__ *, struct HINSTANCE__ *, char *, int)
prv func   00000001`0000a7b0   1c notepad!WinMainCRTStartup$filt$0 (void)
prv func   00000001`0000a540  268 notepad!WinMainCRTStartup (void)

使用 /v选项时, 显示的第一列显示符号类型 (local、global、parameter、function 或 unknown)。 第二列是符号的地址。 第三列是符号的大小 (以字节为单位)。 第四列显示模块名称和符号名称。 在某些情况下, 此显示后跟一个等号 (=), 然后是符号的数据类型。 还显示符号的源 (公共或完整符号信息)。

kd> x /v nt!CmType*
global 806c9e68    0 nt!CmTypeName = struct _UNICODE_STRING []
global 806c9e68  150 nt!CmTypeName = struct _UNICODE_STRING [42]
global 806c9e68    0 nt!CmTypeName = struct _UNICODE_STRING []
global 805bd7b0    0 nt!CmTypeString = unsigned short *[]
global 805bd7b0   a8 nt!CmTypeString = unsigned short *[42]

在前面的示例中, 大小以十六进制格式提供, 而数据类型以十进制格式提供。 因此, 在前面的示例的最后一行中, 数据类型是指向无符号短整数的42指针的数组。 此数组的大小为 42*4 = 168, 168 以十六进制格式显示为0xA8。

您可以使用 /s size 选项来仅显示大小 (以字节为单位) 为特定值的符号。 例如, 可以将前面的示例中的命令限制为表示大小为0xA8 的对象的符号。

kd> x /v /s a8 nt!CmType*
global 805bd7b0   a8 nt!CmTypeString = unsigned short *[42]

使用数据类型

/T选项使调试器显示有关每个符号的数据类型的信息。 请注意, 对于许多符号, 即使没有 /t选项, 也会显示此信息。 使用 /t时, 此类符号的数据类型信息显示两次。

0:001> x prymes!__n*
00427d84 myModule!__nullstring = 0x00425de8 "(null)"
0042a3c0 myModule!_nstream = 512
Type information missing error for _nh_malloc
004021c1 myModule!MyStructInstance = struct MyStruct
00427d14 myModule!_NLG_Destination = <no type information>

0:001> x /t prymes!__n*
00427d84 char * myModule!__nullstring = 0x00425de8 "(null)"
0042a3c0 int myModule!_nstream = 512
Type information missing error for _nh_malloc
004021c1 struct MyStruct myModule!MyStructInstance = struct MyStruct
00427d14 <NoType> myModule!_NLG_Destination = <no type information>

X 命令将显示某个类型的实例。

0:001> x foo!MyClassInstance
00f4f354          foo!MyClassInstance = 0x00f78768

X 命令不显示任何内容, 只基于类型的名称。

0:001> x foo!MyClass
0:001>

若要使用类型的名称显示类型信息, 请考虑使用dt (显示类型), 它提供类型和类型实例的信息:

0:001> dt foo!MyClass
   +0x000 IntMemberVariable : Int4B
   +0x004 FloatMemberVariable : Float
   +0x008 BoolMemberVariable : Bool
   +0x00c PtrMemberVariable : Ptr32 MyClass

使用模板

您可以使用包含 x 命令的通配符来显示模板类, 如本示例中所示。

dbgcmd

0:001>  x Fabric!Common::ConfigEntry*TimeSpan?
000007f6`466a2f9c Fabric!Common::ConfigEntry<Common::TimeSpan>::ConfigEntry<Common::TimeSpan> (void)
000007f6`466a3020 Fabric!Common::ConfigEntry<Common::TimeSpan>::~ConfigEntry<Common::TimeSpan> (void)

使用模板时, 请考虑使用dt (显示类型)命令, 因为 x 命令不显示单个模板类项。

0:001> dt foo!Common::ConfigEntry<Common::TimeSpan>
   +0x000 __VFN_table : Ptr64
   +0x008 componentConfig_ : Ptr64 Common::ComponentConfig
   +0x010 section_         : std::basic_string<wchar_t,std::char_traits<wchar_t>,std::allocator<wchar_t> >
   +0x038 key_             : std::basic_string<wchar_t,std::char_traits<wchar_t>,std::allocator<wchar_t> >