NTSD命令详解.docxVIP

NTSD命令详解Process File: ntsd.exeProcess Name: Symbolic Debugger for WindowsDescription: ntsd.exe is a process belonging to the Microsoft symbolic debugger that enables you to debug user-mode applications. This program is non-essential process to the running of the system, but should not be terminated unless suspected to be causing problems.Recommendation: Should not be disabled, required for essential applications to work properly.Author: MicrosoftPart of: Microsoft Windows Operating文件细节文件道路: C:\WINDOWS\system32 \ ntsd.exe 文件日期: 2002-08-29 14:00:00 版本: 5.1.2600.0 文件大小: 31.744 字节检查和和文件hashes CRC32: 6D35F411 MD5: 8F0A 81E2 3718 E1C9 A4FD 5615 2CAE B88C SHA1: 60B8 B14E 2D9E A685 4A08 AF82 880C 4116 CE1D C10D 版本资源信息公司名称: Microsoft Corporation 文件描述: Symbolic Debugger for Windows 2000 文件操作系统: Windows NT, Windows 2000, Windows XP, Windows 2003 文件类型: Application 文件版本: 5.1.2600.0 内部名: NTSD.Exe 法律版权: ? Microsoft Corporation. All rights reserved. 原始的文件名: NTSD.Exe 产品名称: Microsoft? Windows? Operating System 产品版本: 5.1.2600.0 1. ntsd -c q -p PID 　　2. ntsd -c q -pn ImageName 比如:ntsd -c q -pn qq.exe 　　- c是表示执行debug命令　　q表示执行结束后退出(quit) 　　-p 表示后面紧跟着是你要结束的进程对应的PID 　　-pn 表示后面紧跟着是你要结束的进程名（process_name.exe 比如：QQ.exe,explorer.exe 等等，值得注意的是后缀名.exe是不可省略的，否则系统会告诉你“不支持此接口”）　　只有System、SMSS.EXE和CSRSS.EXE不能杀。前两个是纯内核态的，最后那个是Win32子系统，ntsd本身需要它。ntsd从2000开始就是系统自带的用户态调试工具。被调试器附着(attach)的进程会随调试器一起退出，所以可以用来在命令行下终止进程。使用ntsd自动就获得了debug权限，从而能杀掉大部分的进程。使用NTSD远程调试程序：NTSD 调试程序在启动时要求用户指定一个要连接的进程。使用 TLIST 或 PVIEWER，您可以获得某个现有进程的进程 ID，然后键入 NTSD -p pid 来调试这个进程。NTSD 命令行使用如下的句法：NTSD [options] imagefile其中，imagefile 是要调试的映像名称，options 是下面选项之一：表 1. NTSD 映像文件选项选项说明-2 打开一个用于调试字符模式的应用程序的新窗口-d 将输出重定向到调试终端-g 使执行自动通过第一个断点-G 使 NTSD 在子程序终止时立即退出o 启用多个进程的调试，默认值为由调试程序衍生的一个进程-p 指定调试由进程 ID 标识的进程-v 产生详细的输出例如，假设 inetinfo.exe 的进程 ID 为 104。键入以下命令将 NTSD 调试程序连接到 inetinfo 进程 (IIS)。NTSD -p 104也可使用 NTSD 启动一个新进程来进行调试。例如，NTSD notepad.exe 将启动一个新的 notepad.exe 进程，并与它建立连接。一旦连接到某个进程，您就可以用各种命令来查看堆栈、设置断点、转储内存，等等。表 2. 常用命令命令含义~ 显示所有线程的一个列表KB 显示当前线程的堆栈轨迹~