使用windbg倾销EPROCESS

Question

我正在尝试使用LibVMI和32位Windows 7；为了正确地进行设置，我需要查看EPROCESS结构的前8个字节（该库在内存中搜索一个幻数，应该就是这个数字）。

我的Windows-fu不强壮，所以谁能告诉我如何转储适当的内存？我正在运行本地内核调试器，并且已经达到“ dt nt！_EPROCESS”的位置，但这似乎只是向我展示了结构的格式，而不是结构中的实际内容。

Answer 1

该命令是：

dt nt!_EPROCESS <address>

您应该能够从的输出获取地址!process 0 7。