nt!KiFastCallEntry 或 nt!ZwYieldExecution+0xa30答案

【问题标题】：nt!KiFastCallEntry or nt!ZwYieldExecution+0xa30nt!KiFastCallEntry 或 nt!ZwYieldExecution+0xa30
【发布时间】：2015-08-23 14:03:16
【问题描述】：

"rdmsr 176" in Windbg in Kernel Debugging mode on local machine

msr[176] = 00000000`82c3f8d0

但是在 82c3fsd0 处反汇编函数会得到 nt!ZwYieldExecution+0aa30 而不是 nt!KiFastCallEntry

有什么问题吗？

【问题讨论】：

KiFastCallEntry 的地址是什么？请注意，与ZwYieldExecution 的较大偏移意味着它可能不是那个函数，它只是反汇编程序可以找到的最近的标签。
你的符号对吗？ lkd> .foreach /pS 2 (place {rdmsr 176}) { u place l2} nt!KiFastCallEntry: 8053d560 b923000000 mov ecx,23h 8053d565 6a30 push 30h lkd>

标签： windows debugging assembly x86 windbg

【解决方案1】：

看起来组装说明是正确的，它们与我的测试系统的结果相匹配：

kd> rdmsr 176
msr[176] = 00000000`81928230
kd> u 81928230
nt!KiFastCallEntry:
81928230 b923000000      mov     ecx,23h
81928235 6a30            push    30h
81928237 0fa1            pop     fs
81928239 8ed9            mov     ds,cx
8192823b 8ec1            mov     es,cx
8192823d 648b0d40000000  mov     ecx,dword ptr fs:[40h]
81928244 8b6104          mov     esp,dword ptr [ecx+4]
81928247 6a23            push    23h

尝试重新加载您的符号，看看是否有帮助：

kd> .symfix
kd> .reload

【讨论】：