如何确定WinDbg中以空结尾的字符串的长度

Question

正在调试的目标进程的地址空间中存在以 null 结尾的 ASCII 字符串。我想编写一个WinDbg脚本来打印出这个字符串的长度。假设我知道字符串起始字符的地址，我如何计算它的长度？

Answer 1

也许是笨拙的 Windbg 脚本语言
但肯定是即兴创作的
把它放在一些 foo.txt 中并将其保存在类似 e: lah oo.txt

的地方

r $t0 = ${$arg1}; 
r $t1 = @$t0; 
.while( @@c++(*(BYTE *) @$t0) != 0) {r $t0 = @$t0+1} 
.printf "Len( \"%ma\" ) = 0n%08d\n" , @$t1 ,@$t0-@$t1

并像执行任何普通脚本一样执行

零终止检查的示例

0:000> .foreach (place {s -[1]sa ntdll L400} ) { $$>a< e:\\xxx\\strlen.txt place }
Len( "!This program cannot be run in DOS mode.    $" ) = 0n00000044
Len( "gA=é/né/né/nà~½nè/nà~ºn¨/nà~«nÛ/nà~¬nÜ /nà~»nè/nà~¾nè/nRiché/n" ) = 0n00000071
Len( "/nRiché/n" ) = 0n00000010
Len( ".text" ) = 0n00000005
Len( "`RT" ) = 0n00000003
Len( "`.data" ) = 0n00000006
Len( ".rsrc" ) = 0n00000005
Len( "@.reloc" ) = 0n00000007

Answer 2

我的 pykd 脚本变体：

import sys
import pykd

addr = pykd.expr( sys.argv[1] ) # we can use any expression as a parameter

try:
     pykd.dprintln("string length is % d" % pykd.loadCStr( addr ) )
except pykd.MemoryException:
     pykd.dprintln("memory error")

Answer 3

恕我直言，在 WinDbg 中不太方便，我尝试寻找涉及

s

、

.foreach

和

.if

的解决方案超过 15 分钟，但结果令人沮丧。在这种情况下，我使用真正的编程语言，例如带有 PyKD 的 Python。

将以下内容保存到文件中

strlen.py

：

from pykd import *
import sys

addr = int(sys.argv[1], 16)
length = 0
while(0 != loadBytes(addr+length, 1)[0]):
    length += 1
dprintln(str(length))

然后使用地址作为参数运行它：

0:022> !py c:\tmp\strlen.py 773a004e
43
0:022> db 773a004e L0n44
773a004e  54 68 69 73 20 70 72 6f-67 72 61 6d 20 63 61 6e  This program can
773a005e  6e 6f 74 20 62 65 20 72-75 6e 20 69 6e 20 44 4f  not be run in DO
773a006e  53 20 6d 6f 64 65 2e 0d-0d 0a 24 00              S mode....$.

请注意，PyKd 不会自动将命名符号转换为地址（例如，您不能将

ntdll

作为地址传递）

Answer 4

WinDbg 预览版 14951 附带内置 JavaScript 扩展 [1]，因此现在也可以使用 JavaScript 完成此任务：

strlen.js：

function invokeScript()
{
  var addr = 0x00c9004e;    // address of the string
  var str = host.memory.readString(addr);
  host.diagnostics.debugLog("String=", str, "\n");
  host.diagnostics.debugLog("Length=", str.length, "\n");
}

然后在WinDbg中调用strlen.js：

0:000> .load jsprovider.dll
0:000> .scriptrun "c:\\windbg\\strlen.js"
JavaScript script successfully loaded from 'C:\windbg\strlen.js'
String=This program cannot be run in DOS mode.
$
Length=43

[1] https://blogs.msdn.microsoft.com/windbg/2016/10/27/new-insider-sdk-and-javascript-extensibility/

[2] 其 API 记录在：JavaScript 调试器脚本