Question

调试时目标进程的地址空间中存在以null结尾的ASCII字符串。我想写一个WinDbg脚本来打印出这个字符串的长度。假设我知道字符串起始字符的地址，我该如何计算它的长度？

Answer 1

笨拙的windbg脚本语言可能是但肯定是即兴的把它放在一些 foo.txt 中并保存在 e：\ blah \ foo.txt

之类的地方

r $t0 = ${$arg1}; 
r $t1 = @$t0; 
.while( @@c++(*(BYTE *) @$t0) != 0) {r $t0 = @$t0+1} 
.printf "Len( \"%ma\" ) = 0n%08d\n" , @$t1 ,@$t0-@$t1

执行就像执行任何普通脚本一样

零终止检查的例子

0:000> .foreach (place {s -[1]sa ntdll L400} ) { $$>a< e:\\xxx\\strlen.txt place }
Len( "!This program cannot be run in DOS mode.    $" ) = 0n00000044
Len( "gA=é/né/né/nà~½nè/nà~ºn¨/nà~«nÛ/nà~¬nÜ /nà~»nè/nà~¾nè/nRiché/n" ) = 0n00000071
Len( "/nRiché/n" ) = 0n00000010
Len( ".text" ) = 0n00000005
Len( "`RT" ) = 0n00000003
Len( "`.data" ) = 0n00000006
Len( ".rsrc" ) = 0n00000005
Len( "@.reloc" ) = 0n00000007

Answer 2

我的pykd脚本变体：

import sys
import pykd

addr = pykd.expr( sys.argv[1] ) # we can use any expression as a parameter

try:
     pykd.dprintln("string length is % d" % pykd.loadCStr( addr ) )
except pykd.MemoryException:
     pykd.dprintln("memory error")

Answer 3

恕我直言，在WinDbg中不方便，我尝试找到一个涉及s，.foreach和.if的解决方案超过15分钟，但结果令人沮丧。在这种情况下，我使用像PyKD这样的真实编程语言。

将以下内容保存到文件strlen.py：

中

from pykd import *
import sys

addr = int(sys.argv[1], 16)
length = 0
while(0 != loadBytes(addr+length, 1)[0]):
    length += 1
dprintln(str(length))

然后使用地址作为参数运行它：

0:022> !py c:\tmp\strlen.py 773a004e
43
0:022> db 773a004e L0n44
773a004e  54 68 69 73 20 70 72 6f-67 72 61 6d 20 63 61 6e  This program can
773a005e  6e 6f 74 20 62 65 20 72-75 6e 20 69 6e 20 44 4f  not be run in DO
773a006e  53 20 6d 6f 64 65 2e 0d-0d 0a 24 00              S mode....$.

请注意，PyKd不会自动将命名符号转换为地址（例如，您无法将ntdll作为地址传递）

Answer 4

WinDbg预览14951附带内置的JavaScript扩展[1]，所以现在也可以使用JavaScript完成此任务：

strlen.js：

function invokeScript()
{
  var addr = 0x00c9004e;    // address of the string
  var str = host.memory.readString(addr);
  host.diagnostics.debugLog("String=", str, "\n");
  host.diagnostics.debugLog("Length=", str.length, "\n");
}

然后在WinDbg中调用strlen.js：

0:000> .load jsprovider.dll
0:000> .scriptrun "c:\\windbg\\strlen.js"
JavaScript script successfully loaded from 'C:\windbg\strlen.js'
String=This program cannot be run in DOS mode.
$
Length=43

[1] https://blogs.msdn.microsoft.com/windbg/2016/10/27/new-insider-sdk-and-javascript-extensibility/

[2]其API记录在：JavaScript Debugger Scripting

如何确定WinDbg中以null结尾的字符串的长度

4 个答案: