windbgの特定の呼び出しスタックフレームのレジスタ値を調べる方法

Question

WinDBGでWindowsダンプファイルを調べています。コールスタックフレームをコマンド.frameで切り替えることはできますが、レジスタには常に最後のコンテキストが含まれていることがわかりました。 つまり、トップではない特定のコールスタックフレームに属するコンテキストを復元することが可能な場合、

Answer 1

あなたはx64のターゲットをデバッグしている場合は、使用することができます。

.frame /r 

をフレーム内のレジスタを表示します。この情報はイメージ内の巻き戻しデータに基づいているため、かなり信頼性があります。コンテキストを変更することもできます。

.frame /c 

x86では、このトリックは機能しません。 .frameはレジスタに何かを表示しますが、正しいとは限りません（基本的には運が正しいだけです）。

Answer 2

trystthis.pyを試してみてください。コールスタックの各フレームのプロローグを逆アセンブルしてCFI（コールフレーム情報）を取得するのが一種です。

http://nick.luckygarden.org/find-this-ptr-within-a-callstack-in-a-dump-file/