debugging - 如何查看GDTR的值(value)？

Question

在“RootkitArsenal”一书中第84页(第3章)中提到:

..., we can view the contents of the target machine's descriptor registers using the command with the 0x100 mask: kd> rM 0x100

和下面的一段:

Note that the same task can be accomplished by specifying the GDTR components explicitly: kd> r gdtr ....

我在我的 Win XP(在 VMWare 内部)上运行 Windbg 并选择 Kernel Debug -> Local。
我的问题是在第一个命令的情况下，windbg 错误为:

lkd> rM 0x100 ^ Operation not supported in current debug session 'rM 0x100'

在第二个命令中:

lkd> r gdtr ^ Bad register error in 'r gdtr'

任何人都可以指导我吗？

Answer 1

是的，您不能在本地内核调试 session 中查看寄存器。 LiveKD 有效，您还可以通过 PCR (!pcr) 间接获取地址。

-斯科特