SoftICE for WIN95中文命令详解第十一部分

命令: PROC

PROC 命令用于显示当前系统中所有进程的简要信息，是调试时快速了解进程概况的常用工具。其语法格式为：PROC [-xo] [task]。其中，-x（即 extended）可展示每个线程的扩展信息；-o（即 objects）则用于显示进程句柄表中的对象列表；task 参数允许指定要查看的具体任务名称。

输出结果包含以下关键字段：Process（任务名）、pProcess（指向进程数据库的指针）、Process ID（进程的 Ring 3 级 ID）、Threads（该进程拥有的线程数量）、Context（地址区域）、DefHeap（缺省堆），以及 DebuggeeCB（调试块）。

总体来说，这个命令非常直观，没有复杂的选项，只需记住参数含义，直接上手就能获取所需进程信息。

命令: QUERY

QUERY 命令用于查看某个进程的虚拟地址映像，或者指定线性地址的映像，是分析内存布局时不可或缺的调试指令。语法格式：QUERY [[-x] address] | [process-type]。其中 -x 参数可显示某个线性地址在所有有效地址区域中的内存映像；address 为线性地址；process-type 是能被解释为进程的表达式。若不加任何参数，默认显示当前进程的完整映像。

输出信息包括：Base（连续页的基址）、AllocBase（由 VirtualAlloc 函数申请的内存基址）、AllocProtect（申请时指定的存取保护）、Size（具有相同特性的页面组成的内存区大小）。此外还有 State 字段，表示内存区中页的状态，分为 Commit（受委托的页，即已物理定位）、Free（空闲页，可被申请）、Reserve（保留页）。Protect 是当前存取保护，Owner 是内存区的所有者，Context 是地址区域。

该命令在排查内存分配问题、分析进程内存布局时非常实用，能够帮助开发者快速定位内存使用异常。

命令: R

R 命令用于显示或修改寄存器的值，是调试过程中最基础的操作之一。语法格式：R [-d | register-name | register-name [=] value]。寄存器名包括 AL、AH、AX、EAX、BL、BH、BX、EBX 等标准寄存器，以及 EIP、FL、DS、ES、SS、CS、FS、GS 等。若要修改 FL（标志寄存器），value 需用字母表示，例如 O 代表溢出位，D 代表方向位，I 代表中断位，S 代表符号位，Z 代表零标志，A 代表辅助进位，P 代表奇偶位，C 代表进位标志。在相应标志前加“+”或“-”号可打开或关闭该标志，若不加符号则反转当前状态。

如果只输入 R -d，会在命令窗口中显示当前所有寄存器的值；不带参数时，光标会移到寄存器窗口进行实时修改（若窗口不可见，则自动显示）。另外，修改 FL 时参数不必按顺序，例如 R fl=o a-c 可以一次修改三个标志位。

这个命令非常基础，掌握标志位的缩写和修改方式后，就能快速调整寄存器状态进行调试。

命令: RS

RS 命令用于暂时恢复被调试程序的屏幕画面，方便调试人员观察程序的实际显示效果。语法非常简单：直接输入 RS。它允许用户暂时恢复被调试程序的视频画面——在调试那些频繁更新屏幕的程序时尤为有用。当程序的原画面显示出来后，按任意键即可返回 SoftICE 调试界面。此外，RS 对应快捷键 F4，使用起来更加便捷。

一句话总结：需要查看程序当前界面时，按 F4 即可快速切换。

命令: S

S 命令用于在内存中搜索特定数据，是逆向分析中定位关键常量或字符串的利器。语法格式：S [-cu][address L length data-list]。参数说明：address 为搜索起始地址，length 为搜索长度（字节），data-list 可以是一系列字节，也可以是字符串（用单引号或双引号括住）。-c 参数使查找区分大小写，-u 则查找 Unicode 编码的字符串。

命令会从指定地址开始查找，直到超过指定长度。如果找到匹配数据，会在当前数据窗口中高亮显示，并在命令窗口中输出提示信息。想继续查找下一个匹配项，只需直接输入 S 即可，无需额外参数。注意，S 命令会忽略被标记为“不在内存中”的页面。如果要搜索大段内存，建议使用选择符 30（一马平川的 30）来提升效率。

该命令在定位特定数据或字符串时非常实用，尤其适合逆向工程中寻找关键常量或识别码。

命令: SERIAL

SERIAL 命令用于将控制台转移到串口终端上，实现远程调试，特别适用于硬件调试和驱动开发场景。语法格式：SERIAL [on [com-port] [baud-rate] | off]。其中 com-port 取值范围为 1 到 4，分别对应 COM1~COM4（默认是 COM1）；baud-rate 为波特率，默认由 SoftICE 自动侦测，可选值包括 1200、2400、4800、9600、19200、23040、28800、38400、57000、115000。

具体操作：用一条串口电缆将两台机器的 COM 口连接起来。被调试程序的机器称为本地机（local），另一台作为控制台的机器称为远程机（remote）。在连接前，远程机上必须运行软件包中的 serial.exe 程序（因此远程机至少需为 MS-DOS 操作系统）。Serial.exe 的命令格式与 SERIAL 指令一致。连接建立后，本地机的屏幕会恢复为被调试程序的画面（即 Windows 屏幕），而远程机将显示 SoftICE 的调试窗口。

下面是两种串口电缆的接法（25 针和 9 针），请务必对照正确：

25 针电缆：
远程 2 ←→ 本地 3
远程 3 ←→ 本地 2
远程 4 ←→ 本地 5
远程 5 ←→ 本地 4
远程 6 ←→ 本地 20
远程 8 ←→ 本地 8（注意：6 和 20 先相接，再连对方）
远程 7 ←→ 本地 7

9 针电缆：
本地 2 ←→ 远程 3
本地 3 ←→ 远程 2
本地 5 ←→ 远程 5
本地 7 ←→ 远程 8
本地 8 ←→ 远程 7
本地 6 ←→ 远程 4
本地 1 与 6 先相接，再连远程的 4

远程机上随时可以用 Ctrl+D 激活调试。结束调试时，在远程机上输入 SERIAL off；要退出远程机的 serial.exe，按 Ctrl+Z 即可。

该功能在硬件调试与驱动开发中非常实用，电缆接法建议仔细对照，避免连接错误。

命令: SET

SET 命令用于显示或修改 SoftICE 的内部参数，相当于调试器的“控制面板”。语法格式：SET [keyword] [on | off] [value]。其中 keyword 为内部变量名，value 针对某些具有数值的变量（并非简单的 ON/OFF 开关）。不加参数会显示所有变量的当前状态；只加 keyword 则仅显示该变量的状态。

变量列表如下：

• ALTSCR [ON|OFF]
• CASESENSITIVE [ON|OFF]
• CODE [ON|OFF]
• EXCLUDE [ON|OFF]
• FAULTS [ON|OFF]
• FLASH [ON|OFF]
• I1HERE [ON|OFF]
• I3HERE [ON|OFF]
• LOWERCASE [ON|OFF]
• MOUSE [ON|OFF][1,2,3]
• PAUSE [ON|OFF]
• SYMBOLS [ON|OFF]
• TABS [ON|OFF][1,2,3,4,5,6,7,8]
• THREADP [ON|OFF]
• VERBOSE [ON|OFF]

几个常用变量说明：CASESENSITIVE ON 会使符号名对大小写敏感；MOUSE 允许或禁止使用鼠标，还能设定鼠标移动速度（1 为最慢，3 为最快，2 为默认中速）；SYMBOLS ON 允许反汇编器在代码中显示符号名，否则只显示数字化地址。其余变量可参考各自对应的命令解释。

掌握 SET 命令后，可以根据调试需求灵活调整环境，提升调试效率。