调试会话
.create ：创建新的进程并调试 例子 .create notepad.exe
.attach：附加到指定进程 例子 .attach 2568
.restart：让调试目标重新运行 例子 .restart 或者.restart /f
.crash：强制目标系统崩溃(内核态) 例子 .crash
.reboot：重启目标系统(内核态) 例子 .reboot
.detach：分离调试目标 例子 .detach
q：终止调试 例子 q
模块和符号
.symfix：设置符号服务器 例子 .symfix c:\symbols
.reload：刷新模块和符号 例子 .reload 或者.reload /f
ld：加载符号文件 例子 ld kernel32
.sympath：显示或者设置符号路径 例子 .sympath 或者.sympath+d:\sym\
!sym：显示符号选项 例子 !sym noisy 或者!sym quiet
x：显示符号 例子 x VAXPlayer!* 显示vaxplayer库中所有的符号
ln：搜索符号 例子 ln aebc6eac（可以查找符号来对应动态库）
lm：列模块或显示模块详情 例子 lm (可以查看对应的pdb文件) lmf(可以查看程序运行的时候对于的dll信息)
!lmi ：模块或pdb文件详情 例子 !lmi ntdll
!dlls：动态库信息 例子 !dlls -a
!dh：观察PE文件头 例子 !dh 76930000 -a
转储文件
.dump :产生转储文件 例子 .dump /mfh c:\a.dmp
!analyze：自动分析 例子 !analyze -v
.writemem：将内存数据写到文件 例子 .writemen c：\dump\test.txt 07288600 L2000
进程
|：显示或切换进程(用户态) 例子 |* 或者|2s
!process：显示进程 例子 ！process 0 0
!dml_proc：观察进程信息 例子 !dml_proc $$以DML方式显示进程信息
.process：显示或切换进程(内核态) 例子 .process /i 9382a560
.kill：杀进程 例子 .kill 8adc85f0
!peb：观察进程信息 例子 ！peb
dt：观察数据结构 例子 dt ntdll!_PEB@$peb -r
.tlist：列进程 例子 .tlist 列出调试器所在系统的所有进程
线程
~：显示/切换线程 例子 ~*显示所有线程 ~2s切换到2号线程
!teb：显示线程块 例子 !teb
.thread： 显示或切换线程(内核态) 例子 .thread 80551d20 或.thread /p 8747da8
!thread：观察线程(内核态) 例子！thread
!wow64exts.info：运行在64bit系统的32bit线程信息 例子 !wow64exts.info
!wow64exts.sw：32bit和64bit调试器切换 例子 !wow64exts.sw
内存
!address：观察内存空间 例子 !address
!address：观察内存块属性 例子 !address 0728988a
d：显示内存数据 例子 db e2001744
dt：按类型显示内存数据 例子 dt _GUID 014511471
e：编辑内存数据 例子 eb 00175487 ff
!dd：读取物理地址 例子 !dd fffffff0
!ed：写物理地址 例子 !ed fffffff0 8000
!vtop：虚拟地址转换为物理地址 例子 ！vtop 0 badfde064
!pte：显示页表项 例子 ！pte f6551410
!memusage：显示物理内存使用情况 例子 ！memusage
!pool：显示内核池信息 例子 !pool e326c000
!vad：观察进程的地址空间 例子 ！vad 8a761451
!sdbgext.hwnd：观察窗口句柄 例子 ！sbdgext.hwnd 001506c1
堆
!heap：显示堆信息 例子 !heap 01671010 -a
栈
k：函数调用序列 例子 ~*kbn
.frame ：切换当前栈帧 例子 .frame 2
dds：显示数据和符号 例子 dds 80418424
dv：显示局部变量 例子 dt
寄存器
r：读写寄存器 例子 r cr3
rdmsr：读取MSR寄存器 例子 rdmsr 19c
上下文
.ecxr：切换到异常上下文 例子 .ecxr
.tss：切换到指定TSS 例子 .tss 28
.trap：切换到陷阱栈 例子 .trap 80541471
.effmach：切换32和64bit上下文 例子 .effmach X86
断点
bp：软件断点 例子 bp test!test.cpp:65
ba：硬件断点 例子 ba w4 00006484
bm：成批设置断点 例子 bm /a nt!Dbgk*
bd/be/bc/dl：管理断点
执行和跟踪
g：恢复执行 例子 g
p：单步执行 例子 p
t：单步跟踪 例子 t
wt：自动跟踪 例子 wt -l 3
反汇编
u：反汇编 例子 u nt！PsGetcutrentID
uf：反汇编整个函数 例子 uf RtlLeaveCriticalSection
ub：反向反汇编 例子 ub 14785214
a ：汇编 例子 a<地址>
死锁
!locks：扫描关键区(用户态)或ERESOURCE(内核态) 例子 ！locks
!cs：观察关键区 例子 !cs -l
!alpc：观察ALPC端口 例子 !alpc /m 02145895
处理器
!pcr：管理处理器控制区 例子 ！pcr
dg：观察段描述符 例子 dg @fs
!cpuid：显示CPU型号 例子 !cpuid
!cpuinfo:显示cpu属性(内核态) 例子 !cpuinfo
!irql：显示保存的IRQL
