最近把windbg插件0cchext升级到1.0.19.1，完善了autocmd命令，并且增加了accessmask，oledata和cppexcr命令。

autocmd更新：

现在支持全局自动运行命令，区分应用层调试和内核调试，并且区分了普通调试和DUMP分析，配置文件依然是插件同目录下的autocmd.ini。

[all]
? 88 * 66

[kernel]
!process 0 0 explorer.exe

[kernel dump]
!analyze -v

[notepad.exe]
.sympath+ c:\notepad_pdb
~*k

[calc.exe]
.sympath+ c:\calc_pdb
~*k

[calc.exe dump]
.excr

在[all]区间的命令，会在所有情况下执行；[kernel]区间的命令会在内核调试的情况下执行；[kernel dump]区间的命令会在内核调试dump的情况下执行；[app.exe]区间是在调试某exe的时候执行；最后[app.exe dump]命令会在调试指定exe的dump的时候执行。

accessmask命令：

这个命令很简单，就是查询权限标志的，例如

0:000> !accessmask process 0x1fffff
Access mask: 0x1fffff

Generic rights:
STANDARD_RIGHTS_READ              (0x20000)
STANDARD_RIGHTS_WRITE             (0x20000)
STANDARD_RIGHTS_EXECUTE           (0x20000)
STANDARD_RIGHTS_REQUIRED          (0xf0000)
STANDARD_RIGHTS_ALL               (0x1f0000)
READ_CONTROL                      (0x20000)
DELETE                            (0x10000)
SYNCHRONIZE                       (0x100000)
WRITE_DAC                         (0x40000)
WRITE_OWNER                       (0x80000)

Specific rights:
PROCESS_QUERY_LIMITED_INFORMATION    (0x1000)
PROCESS_SUSPEND_RESUME            (0x800)
PROCESS_QUERY_INFORMATION         (0x400)
PROCESS_SET_INFORMATION           (0x200)
PROCESS_SET_QUOTA                 (0x100)
PROCESS_CREATE_PROCESS            (0x80)
PROCESS_DUP_HANDLE                (0x40)
PROCESS_VM_WRITE                  (0x20)
PROCESS_VM_READ                   (0x10)
PROCESS_VM_OPERATION              (0x8)
PROCESS_CREATE_THREAD             (0x2)
PROCESS_TERMINATE                 (0x1)
PROCESS_ALL_ACCESS                (0x1fffff)

其中第一个参数是对象类型，比如process，thread，file；第二个参数则是具体要查询的值。

oledata命令：

这个命令是方便我们当前线程查询com和ole相关结构的命令，不需要参数。

0:000> !oledata
dt combase!tagSOleTlsData 0x0000019370ad0360
dx (combase!tagSOleTlsData *)0x0000019370ad0360
0:000> dt combase!tagSOleTlsData 0x0000019370ad0360
   +0x000 pvThreadBase     : (null)
   +0x008 pSmAllocator     : (null)
   +0x010 dwApartmentID    : 0x1e3d4
   +0x014 dwFlags          : 0x81
   +0x018 TlsMapIndex      : 0n0
   +0x020 ppTlsSlot        : 0x00000018`66fc9758  -> 0x00000193`70ad0360 Void
   +0x028 cComInits        : 3
   +0x02c cOleInits        : 0
   +0x030 cCalls           : 0
   ...

另外可以看调试COM的一个tip来简单了解以下这个命令的用途

cppexcrname命令：

这个命令用于查询C++ 异常名

0:000> .exr -1
ExceptionAddress: 74e61812 (KERNELBASE!RaiseException+0x00000062)
   ExceptionCode: e06d7363 (C++ EH exception)
  ExceptionFlags: 00000001
NumberParameters: 3
   Parameter[0]: 19930520
   Parameter[1]: 006ff46c
   Parameter[2]: 00372294
0:000> !cppexcrname
Exception name: .?AVexception@std@@

这个的详情可以参考C++异常的参数分析(0xE06D7363)