【已解决】面试题: 调试一个dump文件,调试器找不到this指针,用什么办法可以手工找回th

ejeker

如题，今天遇到这样的面试题: 如果调试release版本的程序产生的dump文件的时候，发现this指针不见了，但是所指对象非空(this指针可能被release版优化掉了)，那么用什么办法可以找回this指针?

VC下怎么做，GCC下怎么做(编译器2选1)

我猜想说，是否可以用虚函数表的地址或者RTTI的信息来反向查找。面试官没有做声。

该如何回答?

zylthinking

难道不是 &object 吗？

ejeker

zylthinking 发表于 2013-07-31 14:55
难道不是 &object 吗？

面试官的问题是: 由于优化等原因，当前调试栈中，看寄存器ecx等已经找不到this指针了。但是程序能继续走。请问这个时候this在哪里? 如何手工获取?

zylthinking

ejeker 发表于 2013-07-31 15:06
面试官的问题是: 由于优化等原因，当前调试栈中，看寄存器ecx等已经找不到this指针了。但是程序能继续走 ...

最后一个压栈的参数

zylthinking

zylthinking 发表于 2013-07-31 15:37
最后一个压栈的参数

VC 不知道， 微软好像弄出来了一个 thiscall, 无论 release 与否， 都是通过寄存器传递的， 我就不明白怎么会 "ecx 不再保存 this" 了

ejeker

zylthinking 发表于 2013-07-31 15:40
VC 不知道， 微软好像弄出来了一个 thiscall, 无论 release 与否， 都是通过寄存器传递的， 我就不明白 ...

也就是一定是用ecx，而不会用其他寄存器来存是么?

irp

问题较模糊。一个常用的技巧是分析指令，比如访问对象的某个成员的指令模式一般是 [reg + offset], reg 可能就hold this ptr. 这个需要验证。如果函数有调用虚函数，也可以类似找出this来。ecx不一定是this, 这是真的。还有稍复杂的技巧，假设当前是frame n, 根据 frame n的return address, disassemble frame n-1里调用frame n的指令，因为是调用c++ 方法， 所以在参数压栈之前，会对某个register赋值来传递this.找到这条指令即可。某些条件下，还有其他更复杂的方法

ejeker

irp 发表于 2013-08-01 01:06
问题较模糊。一个常用的技巧是分析指令，比如访问对象的某个成员的指令模式一般是 [reg + offset], reg 可能 ...

虚函数的调用指令分析，和用frame n来查找。很好啊！