Windows编程调试技术内幕

第 一部分 背景
第　1章 Windows软件开发　3
1．1　Windows发展过程　3
1．1．1　Windows版本历史　3
1．1．2　支持的CPU架构　4
1．1．3　Windows版本特性　5
1．1．4　Windows服务术语　5
1．2　Windows架构　6
1．2．1　内核态与用户态　6
1．2．2　用户态系统进程　7
1．2．3　用户态应用进程　8
1．2．4　低级别的Windows通信机制　11
1．3　Windows开发人员接口　13
1．3．1　开发人员文档资源　13
1．3．2　WDM、KMDF和 UMDF　14
1．3．3　NTDLL和USER32层　14
1．3．4　Win32 API层　15
1．3．5　COM层　15
1．3．6　CLR（．NET）层　20
1．4　微软开发工具　22
1．4．1　Windows驱动程序开发工具包（WDK）　23
1．4．2　Windows软件开发工具包　23
1．5　小结　23
第二部分　调试的乐趣和好处
第　2章 入门　27
2．1　调试工具介绍　27
2．1．1　获取Windows调试器软件包　27
2．1．2　获取Visual Studio调试器　31
2．1．3　WinDbg和Visual Studio调试器对比　31
2．2　用户态调试　32
2．2．1　使用WinDbg调试你的第 一个程序　32
2．2．2　列举局部变量和函数参数值　39
2．2．3　WinDbg中的源码级调试　43
2．2．4　符号文件、服务器和本地缓存　44
2．2．5　WinDbg符号离线缓存　45
2．2．6　WinDbg中符号解析问题的故障排除　46
2．2．7　名称修饰注意事项　46
2．2．8　获取WinDbg命令的帮助　48
2．3　内核态调试　49
2．3．1　你的第 一个（实时）内核态调试会话　50
2．3．2　使用物理机建立一个内核态调试环境　55
2．3．3　使用虚拟机设置内核态调试环境　60
2．3．4　诊断主机/目标机通信问题　62
2．3．5　理解KD中断序列　63
2．3．6　在内核态调试器中控制目标机　64
2．3．7　在内核态调试器中设置代码断点　66
2．3．8　获取WinDbg内核态调试命令的帮助　68
2．4　小结　68
第3章　Windows调试器是如何工作的　70
3．1　用户态调试　70
3．1．1　架构概述　70
3．1．2　Win32调试API　71
3．1．3　调试事件和异常　72
3．1．4　中断序列　75
3．1．5　设置代码断点　76
3．1．6　观察WinDbg中的代码断点插入　77
3．2　内核态调试　81
3．2．1　架构概述　81
3．2．2　设置代码断点　82
3．2．3　单步执行目标　82
3．2．4　切换当前进程上下文　83
3．3　托管代码调试　84
3．3．1　架构概述　85
3．3．2　SOS Windows调试器扩展　87
3．4　脚本调试　92
3．4．1　架构概述　92
3．4．2　在Visual Studio中调试脚本　93
3．5　远程调试　95
3．5．1　架构概述　95
3．5．2　WinDbg中的远程调试　96
3．5．3　Visual Studio中的远程调试　99
3．6　小结　101
第4章　事后调试　102
4．1　实时调试　102
4．1．1　你的第 一个实时调试实验　102
4．1．2　实时调试是如何工作的　105
4．1．3　使用Visual Studio作为实时调试器　108
4．1．4　运行时断言和实时调试　113
4．1．5　会话0中实时调试　113
4．2　转储调试　114
4．2．1　用户态转储文件自动生成　114
4．2．2　使用WinDbg调试器分析崩溃转储文件　117
4．2．3　使用Visual Studio分析崩溃转储文件　123
4．2．4　手动生成转储文件　124
4．2．5　“时间旅行”调试　125
4．2．6　内核态事后调试　126
4．3　小结　128
第5章　基础扩展　130
5．1　非侵入式调试　130
5．2　数据断点　132
5．2．1　深度分析用户态和内核态数据断点　133
5．2．2　清除内核态数据断点　135
5．2．3　执行数据断点与代码断点　136
5．2．4　用户态调试器数据断点操作：C++全局对象和C运行时库　137
5．2．5　内核态调试器数据断点操作：等待进程退出　139
5．2．6　高级例子：谁在修改注册表值　141
5．3　调试器脚本　145
5．3．1　使用调试器脚本重放命令　145
5．3．2　调试器伪寄存器　146
5．3．3　在调试器脚本中解析C++模板名称　148
5．3．4　脚本实践：在内核调试器中列举Windows服务进程　149
5．4　WOW64调试　150
5．4．1　WOW64环境　150
5．4．2　WOW64进程调试　151
5．5　Windows调试钩子（GFLAGS）　154
5．5．1　系统级与进程相关的NT全局标志　154
5．5．2　GFLAGS工具　155
5．5．3　调试器扩展命令!gflag　157
5．5．4　用户态调试器对NT全局标志值的影响　159
5．5．5　映像文件执行选项钩子　159
5．6　小结　159
第6章　代码分析工具　161
6．1　静态代码分析　161
6．1．1　使用VC++静态代码分析捕获你的第 一个崩溃错误　161
6．1．2　SAL注释　164
6．1．3　其他静态分析工具　167
6．2　运行时代码分析　169
6．2．1　使用应用程序验证器工具捕获你的第 一个错误　170
6．2．2　幕后花絮：操作系统中支持的校验器　172
6．2．3　调试扩展命令!avrf　176
6．2．4　应用程序校验器作为质量保证工具　179
6．3　小结　179
第7章　专家调试技巧　181
7．1　基本技巧　181
7．1．1　等待一个调试器附加到目标　182
7．1．2　加载DLL时中断　184
7．1．3　调试进程启动　188
7．1．4　调试子进程　194
7．2　更多有用的技巧　203
7．2．1　调试错误代码故障　203
7．2．2　在第 一次异常通知时中断　209
7．2．3　冻结线程　210
7．3　内核态调试技巧　212
7．3．1　在用户态进程创建时中断　212
7．3．2　调试用户态进程启动　215
7．3．3　加载DLL时中断　216
7．3．4　未处理SEH异常时中断　217
7．3．5　冻结线程　218
7．4　小结　220
第8章　常见调试场景·第 1部分　222
8．1　调试非法访问　222
8．1．1　理解内存非法访问　222
8．1．2　调试扩展命令!analyze　223
8．2　调试堆破坏　225
8．2．1　调试本地堆破坏　225
8．2．2　调试托管（GC）堆破坏　233
8．3　调试栈破坏　241
8．3．1　基于栈的缓冲区溢出　242
8．3．2　在栈破坏分析中使用数据断点　243
8．3．3　重构损坏栈的调用帧　244
8．4　调试栈溢出　246
8．4．1　理解栈溢出　246
8．4．2　调试命令kf　247
8．5　调试句柄泄露　248
8．5．1　句柄泄露例子　249
8．5．2　调试扩展命令!htrace　250
8．6　调试用户态内存泄露　254
8．6．1　使用应用程序验证器工具检测资源泄露　254
8．6．2　使用UMDH工具分析内存泄露　257
8．6．3　扩展策略：栈跟踪数据库的自定义引用　260
8．7　调试内核态内存泄露　262
8．7．1　内核内存基础知识　262
8．7．2　使用Pool Tagging调查内核态泄露　263
8．8　小结　266
第9章　常见调试场景·第 2部分　268
9．1　调试资源竞争　268
9．1．1　共享状态一致性错误　269
9．1．2　共享状态生命周期管理错误　273
9．1．3　DLL模块生命周期管理错误　281
9．2　调试死锁　284
9．2．1　（锁顺序）Lock-Ordering死锁　285
9．2．2　逻辑死锁　288
9．3　调试访问检查问题　292
9．3．1　基本的NT安全模型　292
9．3．2　Windows Vista的改进　297
9．3．3　结束　300
9．4　小结　301
第　10章 调试系统内部机制　302
10．1　Windows控制台子系统　302
10．1．1　printf背后的魔力　302
10．1．2　Windows UI事件的处理　309
10．1．3　Ctrl+C信号的处理　309
10．2　系统调用剖析　314
10．2．1　用户态一侧的系统调用　315
10．2．2　转换到内核态　317
10．2．3　内核态一侧的系统调用　318
10．3　小结　319
第三部分　观察和分析软件的行为
第　11章 Xperf介绍　323
11．1　获取Xperf　323
11．2　你的第 一个Xperf调查　327
11．2．1　制定一个调查策略　328
11．2．2　收集场景的ETW跟踪　328
11．2．3　分析收集到的ETW跟踪　329
11．3　Xperf的优点和局限性　339
11．4　小结　339
第　12章 ETW内幕　341
12．1　ETW架构　341
12．1．1　ETW设计原则　342
12．1．2　ETW组件　342
12．1．3　特殊的NT内核日志记录会话　343
12．1．4　使用Xperf 配置ETW会话　344
12．2　Windows系统现有的ETW检测　347
12．2．1　Windows内核中的检测　347
12．2．2　其他Windows组件中的检测　350
12．3　理解ETW的Stack-Walk事件　355
12．3．1　启用和查看内核提供者事件的栈跟踪　355
12．3．2　启用和查看用户提供者事件的栈跟踪　358
12．3．3　诊断ETW栈跟踪问题　359
12．4　在你的代码中添加ETW记录　363
12．4．1　ETW事件剖析　364
12．4．2　使用ETW Win32 API记录事件　367
12．5　在ETW中跟踪引导过程　370
12．5．1　在引导过程中记录内核提供者事件　371
12．5．2　在引导过程中记录用户提供者事件　373
12．6　小结　375
第　13章 常见的跟踪场景　376
13．1　分析阻塞时间　376
13．1．1　ETW的CSwitch和ReadyThread事件　377
13．1．2　使用Visual Studio 2010实施等待分析　379
13．1．3　使用Xperf实施等待分析　384
13．2　分析内存使用　389
13．2．1　分析目标进程中高级别的内存使用　390
13．2．2　分析NT堆内存使用　391
13．2．3　分析GC堆(．NET)内存使用　395
13．3　跟踪作为一个调试辅助　403
13．3．1　跟踪错误代码失败　403
13．3．2　跟踪系统内部机制　407
13．4　小结　413
附录A　WinDbg用户态调试快速启动　415
附录B　Windows内核态调试快速启动　428