如何根据读取的注册表项设置断点？

Question

我有一个混合使用托管代码和非托管代码的可执行文件。 我没有源代码，但是我可以反编译它。

我所知道的是，它有时会读取注册表项，然后根据注册表中的程序集名称加载经过管理的DLL。 因此，我想在读取的注册表项上设置一个断点，而不管它是在托管代码中读取还是在非托管代码中读取，然后查看（希望是托管的）堆栈跟踪。 然后，我的计划是使用ILSpy逐步执行从此处开始的反编译代码，并观察有问题的DLL被使用。

是否可以通过Visual Studio调试器，windbg或其他调试器进行？ 我对WinDbg不太满意，但是如果我要使用它，我会的。

Answer 1

我在那儿 可以通过特殊语法调试Win32 API函数。

{,,FOO.DLL}_FunctionName@N

除非它是64位DLL，否则不会进行修饰：

{,,FOO.DLL}FunctionName

我的过程是32位。 我无法使用以下任何一种方法获取功能装饰的列表：

• dumpbin /exports c:\\Windows\\SysWOW64\\advapi32.dll
• 这篇长篇博客文章似乎有一些漏洞
• 此MSDN链接

我相信这是由于SxS加载了错误版本的dll。

但是， Zach Burlingame博客上的这篇文章枚举了注册表项。

我需要设置的断点是{,, Advapi32.dll} _RegOpenKeyExW @ 20。

现在，我需要在注册表路径上设置断点为条件。

Answer 2

WinDbg的：

检查符号：

x advapi32!RegOpenKeyExW

如果符号没有问题，请设置断点：

bp advapi32!RegOpenKeyExW

如果windbg没有看到符号，请尝试：

.symfix
.reload /f advapi32.dll