一直以來(lái)，我對(duì)CLR的分析都是基于MSDN、.NET Framework SDK自帶文檔和Rotor項(xiàng)目提供的源代碼進(jìn)行靜態(tài)分析，輔以自己寫的一些小例子或?qū)�Rotor的修修補(bǔ)補(bǔ)，來(lái)進(jìn)行有限度的動(dòng)態(tài)分析。雖然也用SoftIce跟蹤過(guò)某些核心函數(shù)的機(jī)制，但感覺(jué)實(shí)在是太痛苦了，呵呵。
最近偶然之間發(fā)現(xiàn)我的偶像John Robbins在MSDN的BugSlayer上發(fā)表的一篇文章<SOS: It's Not Just an ABBA Song Anymore>，才發(fā)現(xiàn)原來(lái)用WinDbg可以如此方便的動(dòng)態(tài)分析CLR的運(yùn)行機(jī)制。

首先，需要下載并安裝 Microsoft Debugging Tools [/url]。最好還能下載并安裝當(dāng)前操作系統(tǒng)相應(yīng)的Windows Symbol Packages。
然后，配置系統(tǒng)環(huán)境變量，讓搜索路徑指向系統(tǒng).NET Framework的安裝目錄，既sos.dll所在目錄

set PATH=%PATH%;E:\WINDOWS\Microsoft.NET\Framework\v1.1.4322

啟動(dòng)WinDbg之后，在File/Symbol Search Path選項(xiàng)中加入符號(hào)文件的安裝目錄，如

E:\WINDOWS\Symbols;E:\VS2003\SDK\v1.1\symbols

或者設(shè)置系統(tǒng)環(huán)境變量_NT_SYMBOL_PATH（需要重起WinDbg）

set _NT_SYMBOL_PATH=E:\WINDOWS\Symbols;E:\VS2003\SDK\v1.1\symbols

最后，在File菜單中，用Open Executable打開一個(gè)CLR程序或者用Attach to a process附加到一個(gè)正在運(yùn)行的CLR程序上。

配置好WinDbg之后，如果打開一個(gè)新可執(zhí)行程序，WinDbg會(huì)自動(dòng)斷點(diǎn)到入口，則繼續(xù)運(yùn)行再Break；如附加到進(jìn)程則直接Break。
然后在最下方命令行上輸入系統(tǒng)命令 .load sos 命令載入外部擴(kuò)展sos.dll。如果配置系統(tǒng)路徑正確則這里不會(huì)有任何反應(yīng)，可以繼續(xù)用系統(tǒng)命令 .chain 查看當(dāng)前載入的擴(kuò)展。如下顯示則表示sos.dll成功載入。


以下為引用：

0:005> .chain
Extension DLL search Path:
E:\MS\PlatformSDK\Debugging Tools\winext;...;E:\WINDOWS\Microsoft.NET\Framework\v1.1.4322
Extension DLL chain:
sos: API 1.0.0, built Fri Feb 21 10:47:40 2003
[path: E:\WINDOWS\Microsoft.NET\Framework\v1.1.4322\sos.dll]
dbghelp: image 6.3.0005.1, API 6.0.6, built Fri Oct 24 02:11:02 2003
[path: E:\MS\PlatformSDK\Debugging Tools\dbghelp.dll]
ext: image 6.3.0005.1, API 1.0.0, built Fri Oct 24 09:06:45 2003
[path: E:\MS\PlatformSDK\Debugging Tools\winext\ext.dll]
exts: image 6.3.0005.1, API 1.0.0, built Fri Oct 24 02:10:39 2003
[path: E:\MS\PlatformSDK\Debugging Tools\WINXP\exts.dll]
uext: image 6.3.0005.1, API 1.0.0, built Fri Oct 24 02:10:54 2003
[path: E:\MS\PlatformSDK\Debugging Tools\winext\uext.dll]
ntsdexts: image 6.0.4044.0, API 1.0.0, built Wed Oct 22 02:13:21 2003
[path: E:\MS\PlatformSDK\Debugging Tools\WINXP\ntsdexts.dll]




在載入sos.dll之后，可以用 lm 命令看看當(dāng)前有哪些模塊被載入內(nèi)存，如


以下為引用：

0:005> lm
start end module name
...
77f30000 77ffa000 ntdll (export symbols) E:\WINDOWS\system32\ntdll.dll
79000000 79010000 ConfigWizards (deferred)
79040000 79085000 fusion (deferred)
79170000 79196000 mscoree (deferred)
791b0000 79412000 mscorwks (deferred)
...




對(duì)希望進(jìn)行分析的模塊，可以用ld命令載入相應(yīng)的調(diào)試符號(hào)文件（如果有的話，呵呵）。
如果符號(hào)文件搜索路徑配置正確的話，可以看到提示


以下為引用：

0:005> ld mscorjit
Symbols loaded for MSCORJIT




此時(shí)再用lm可以看到


以下為引用：

...
79430000 7947c000 MSCORJIT (pdb symbols) E:\VS2003\SDK\v1.1\symbols\mscorjit.pdb
...




如果符號(hào)文件搜索路徑配置錯(cuò)誤，或者此模塊沒(méi)有調(diào)試符號(hào)文件，則會(huì)載入.dll的export表


以下為引用：

79170000 79196000 mscoree (export symbols) E:\WINDOWS\system32\mscoree.dll




或者干脆沒(méi)有符號(hào)


以下為引用：

79780000 79980000 mscorlib (no symbols)




完成以上的配置之后，就可以正式開始用WinDbg探索CLR的內(nèi)部世界了，你可以敲個(gè)!SyncBlk，呵呵。