Windbg是windows平台上强大的调试器，它相对于其他常见的IDE集成的调试器有几个重要的优势，
- Windbg可以做内核态调试
- Windbg可以脱离源代码进行调试
- Windbg可以用来分析dump文件
- Windbg支持丰富的调试扩展
以下是一些windbg安装和使用相关的文档，
- Installing and Configuring WinDbg (Windows Debug Tools)
- Windbg Tutorials
- Debugging Using Windbg (msdn)
- Windbg (wikipedia)
接下来我们会通过一系列的文章介绍windbg常用的调试命令的应用场景和基本用法，本文作为开始主要介绍命令.dump，.dumpcap，.writemem和!runaway的用法。
.dump命令
.dump命令可以帮助我们从一个运行的程序创建一个dump(扩展名.dmp)文件，然后将该文件拿到其他机器上进行分析。这在已经投入使用的生产环境中的程序调试非常有用，因为我们要在保证生产环境中的程序不受调试行为影响。
如果你运行.dump /?可以看到该命令提供了很多选项，一般情况下我们需要有关该被调试进程的所有信息，可以通过以下命令来创建dump文件。
0:000> .dump /ma c:\userdump.dmp
这个命令创建的dump包含了该进程的内存数据，句柄数据，未加载模块数据，线程时间信息。最终可以将生成的dmp文件转移到调试机上，该调试机上只要同样安装了windbg就可以进行相应的调试分析。
.dumpcab命令
多数情况下通过dump调试需要生产环境中运行模块对应版本的调试数据库文件(扩展名.pdb)，如果涉及到微软开发的模块如.ntdll，user32.dll等，可以通过配置微软的symbol服务器来加载相应的symbol文件，但是如果涉及到的模块为其他开发方，并且该模块对应的symbol文件存在于生产环境或者其他环境中，那么我们可以将dump在该环境中通过windbg打开，配置好这些私有的symbol路径，然后运行.dumpcab命令将dump文件以及symbol文件一起打包，然后再拿到调试机上进行调试。
微软的symbol服务器路径配置
SRV*your local symbol folder*http://msdl.microsoft.com/download/symbols
.dumpcab命令需要在打开dump文件时运行，
0:000> .dumpcab -a fulldump
Creating a cab file can take a VERY VERY long time
.Ctrl-C can only interrupt the command after a file has been added to the cab.
Adding C:\dump.dmp - added
Adding c:\fibo.pdb - added
Wrote fulldump
打开该cab文件可以看到里面包含了dump文件以及对应的private symbol
接下来我们就可以在调试机上调试问题了。
.writemem命令
.writemem命令允许我们将内存或dump中的内容存成文件。这个命令经常用在我们希望通过其他工具来查看dump中加载的文件，比如我们想通过反汇编工具查看某些模块代码，或者希望打开内存中加载的文件查看其中的具体内容。
例如以下实例中，通过lm命令列出内存中加载的模块列表，然后通过.writemem命令将其中的模块存成文件。
0:000> lm
start end module name
010a0000 01124000 fibo C (private pdb symbols)
75270000 753a0000 kernel32 (deferred)
754a0000 75546000 KERNELBASE (deferred)
774a0000 775f7000 ntdll (export symbols) ntdll.dll
0:000> ? 01124000-010a0000
Evaluate expression: 540672 = 00084000
0:000> .writemem c:\fibo.exe 010a0000 L 00084000
Writing 84000 bytes........................................................................................................................................................................................................................................................................
0:000> .writemem c:\fibo.exe 010a0000 (01124000-0x1)
Writing 84000 bytes........................................................................................................................................................................................................................................................................
.writemem可以通过以上两种方式存储文件，第一种是指定起始地址和长度，第二种是指定其实和终止地址。
!runaway命令
!runaway是一个用来查看各个线程在用户态和内核态占用cpu时钟信息的命令，经常应用在查看高CPU使用率问题中，以下是runaway命令的输出实例，我们可以看到线程2:12a0占用CPU最长时间，当我们遇到高CPU使用率问题的时候，可以通过隔段时间抓取多组dump的方式然后查看各个线程在不同dump中runaway输出信息，从而找出占用cpu最多的线程。
0:026> !runaway
User Mode Time
Thread Time
2:12a0 0 days 0:04:26.668
10:24fc 0 days 0:00:04.711
15:25b8 0 days 0:00:03.010
9:888 0 days 0:00:02.870
14:25b4 0 days 0:00:01.185
8:1c9c 0 days 0:00:00.639
11:1350 0 days 0:00:00.624
13:9d0 0 days 0:00:00.483
7:2758 0 days 0:00:00.327
1:27f4 0 days 0:00:00.296
3:26b0 0 days 0:00:00.109
21:740 0 days 0:00:00.062
17:cd0 0 days 0:00:00.031
24:158 0 days 0:00:00.015
0:1de0 0 days 0:00:00.015
26:25c8 0 days 0:00:00.000
25:2f0 0 days 0:00:00.000
23:b08 0 days 0:00:00.000
22:2584 0 days 0:00:00.000
20:26c0 0 days 0:00:00.000
19:1a78 0 days 0:00:00.000
18:1228 0 days 0:00:00.000
16:1c34 0 days 0:00:00.000
12:724 0 days 0:00:00.000
6:17b0 0 days 0:00:00.000
5:fb8 0 days 0:00:00.000
4:277c 0 days 0:00:00.000
如果你希望看到内核态对应的cpu使用率，可以加上相应的flag如下，
0:028> !runaway ff
User Mode Time
Thread Time
2:12a0 0 days 0:04:46.230
10:24fc 0 days 0:00:04.711
15:25b8 0 days 0:00:03.088
9:888 0 days 0:00:03.057
14:25b4 0 days 0:00:01.248
8:1c9c 0 days 0:00:00.639
11:1350 0 days 0:00:00.624
13:9d0 0 days 0:00:00.483
7:2758 0 days 0:00:00.343
1:27f4 0 days 0:00:00.296
3:26b0 0 days 0:00:00.109
21:740 0 days 0:00:00.078
23:158 0 days 0:00:00.062
17:cd0 0 days 0:00:00.031
27:274c 0 days 0:00:00.015
0:1de0 0 days 0:00:00.015
28:2124 0 days 0:00:00.000
26:f98 0 days 0:00:00.000
25:15c 0 days 0:00:00.000
24:2f0 0 days 0:00:00.000
22:2584 0 days 0:00:00.000
20:26c0 0 days 0:00:00.000
19:1a78 0 days 0:00:00.000
18:1228 0 days 0:00:00.000
16:1c34 0 days 0:00:00.000
12:724 0 days 0:00:00.000
6:17b0 0 days 0:00:00.000
5:fb8 0 days 0:00:00.000
4:277c 0 days 0:00:00.000
Kernel Mode Time
Thread Time
2:12a0 0 days 0:01:04.615
15:25b8 0 days 0:00:04.165
14:25b4 0 days 0:00:01.716
13:9d0 0 days 0:00:00.390
8:1c9c 0 days 0:00:00.280
11:1350 0 days 0:00:00.171
10:24fc 0 days 0:00:00.156
7:2758 0 days 0:00:00.156
3:26b0 0 days 0:00:00.140
23:158 0 days 0:00:00.046
9:888 0 days 0:00:00.046
1:27f4 0 days 0:00:00.046
21:740 0 days 0:00:00.031
19:1a78 0 days 0:00:00.031
24:2f0 0 days 0:00:00.015
17:cd0 0 days 0:00:00.015
0:1de0 0 days 0:00:00.015
28:2124 0 days 0:00:00.000
27:274c 0 days 0:00:00.000
26:f98 0 days 0:00:00.000
25:15c 0 days 0:00:00.000
22:2584 0 days 0:00:00.000
20:26c0 0 days 0:00:00.000
18:1228 0 days 0:00:00.000
16:1c34 0 days 0:00:00.000
12:724 0 days 0:00:00.000
6:17b0 0 days 0:00:00.000
5:fb8 0 days 0:00:00.000
4:277c 0 days 0:00:00.000
希望以上内容对您有所帮助
Aaron Zhang