windbg - 获取 WinDBG 中最后执行指令的地址

Question

我正在逆向一个 win32 应用程序。

问题:

调试程序时。我发现计数器曾经跳转到地址 0x0043D4A0。 (这是一个函数入口点)。

  0043D4A0   51               PUSH ECX
  0043D4A1   8B51 04          MOV EDX,DWORD PTR DS:[ECX+4]
  0043D4A4   8B4424 0C        MOV EAX,DWORD PTR SS:[ESP+C]
  0043D4A8   3BC2             CMP EAX,EDX
  0043D4AA   890C24           MOV DWORD PTR SS:[ESP],ECX
  0043D4AD   7D 06            JGE SHORT PEiD.0043D4B5
  0043D4AF   32C0             XOR AL,AL
  0043D4B1   59               POP ECX

现在我想知道如何使用 windbg 获取在跳转到此点 0x0043D4A0 之前执行的上一条指令的地址。这样我就可以跟踪调用此函数的位置。

提前致谢

Answer 1

使用这个:

? $previp

The instruction pointer at the time of the previous event. (Breaking into the debugger counts as an event.)

参见 this对于其他伪寄存器