使用 WinDbg 查找模块的基地址

Question

如何确定 WinDbg 中特定模块（例如 ntoskrnl.exe）的基地址？这可能吗？

Answer 1

lm（列表模块）显示 DLL 的信息。您可以使用lm m按名称进行过滤，例如

0:000> lm m ntdll
Browse full module list
start    end        module name
77b90000 77d33000   ntdll      (pdb symbols)          d:\debug\symbols\wntdll.pdb\1074039C87B27BF997A06A9E2B1C84E61\wntdll.pdb

“start”列中的数字是基地址。您可以使用 !lmi 确认这只是一个不同的术语。该命令的输出明确提到“基地址”：

0:000> !lmi ntdll
Loaded Module Info: [ntdll] 
         Module: ntdll
   Base Address: 77b90000
[...]

事实上，模块本身的名称可以用作基地址，因此您实际上不需要复制/粘贴、键入或记住基地址。例如，

0:000> db 77b90000 L2
77b90000  4d 5a                                            MZ

您也可以使用

0:000> db ntdll L2
77b90000  4d 5a                                            MZ

（实际上 !lmi 的示例已经使用了该技巧）