先开启真机内核态kernel调试
!process 0 0 svchost.exe
找到进程cid的地址
然后进入
.process /p fffffa8032be2870
然后
.process /i; g
再次中断后继续
一定要重新加载用户态调试符号
.reload /f /user
或者
.process /r /p fffffa8032be2870
先下一个kernel32断点
bp /p fffffa8032be2870 kernel32!createfilew
然后下任意断点
bp /p fffffa8032be2870 ole32!CStdMarshal::UnmarshalObjRef
成功触发断点
---------------------
作者：如鹿渴慕泉水
来源：CSDN
原文：https://blog.csdn.net/oshuangyue12/article/details/79344860
版权声明：本文为博主原创文章，转载请附上博文链接！
