Windbg 2进程线程结构分析

最新推荐文章于 2025-08-11 14:57:41 发布
原创 最新推荐文章于 2025-08-11 14:57:41 发布 · 996 阅读 · 0 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#c++

本文详细探讨了Windbg中进程和线程的结构，从任务、进程资源、EPROCESS结构、PEB到内核模式与用户模式的切换。深入讲解了线程的ETHREAD和TEB，以及WOW进程的注册表重定向和文件系统重定向机制。文章还阐述了创建进程的六个阶段，并提到了最小进程和Pico进程在系统中的作用，以及任务管理器的相关知识。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

目录

任务

一个进程或者一个线程叫任务

进程资源

  1. 虚拟地址空间
  2. 全局唯一的进程ID
  3. 可执行映像
  4. 一个或多个线程
  5. 一个位于内核空间的EPROCESS
  6. 一个位于内核空间的对象句柄表
  7. 一个用于描述内存目录表其实位置的基地址
  8. 一个位于用户空间的进程环境块
  9. 一个访问令牌

进程空间

用户空间
内核空间

EPROCESS结构

１．查看所有进程的基本信息

6: kd> !process 0 0
**** NT ACTIVE PROCESS DUMP ****
PROCESS ffff84898203c440
    SessionId: none  Cid: 0004    Peb: 00000000  ParentCid: 0000
    DirBase: 001ad002  ObjectTable: ffffe18f2b814040  HandleCount: 2564.
    Image: System

PROCESS ffff8489820c6040
    SessionId: none  Cid: 0078    Peb: 00000000  ParentCid: 0004
    DirBase: 99d00002  ObjectTable: ffffe18f2b825b80  HandleCount:   0.
    Image: Registry

PROCESS ffff84898205d040
    SessionId: none  Cid: 01e0    Peb: 3062840000  ParentCid: 0004
    DirBase: 77100002  ObjectTable: ffffe18f2c1ab340  HandleCount:  52.
    Image: smss.exe

PROCESS ffff848987825580
    SessionId: 0  Cid: 02d0    Peb: 9249550000  ParentCid: 028c
    DirBase: 40b000002  ObjectTable: ffffe18f2da8fb40  HandleCount: 566.
    Image: csrss.exe

PROCESS ffff84898e9da580
    SessionId: 0  Cid: 034c    Peb: eeb2e6000  ParentCid: 028c
    DirBase: 40a200002  ObjectTable: ffffe18f2ddb5900  HandleCount: 168.
    Image: wininit.exe

PROCESS ffff84898e9d4580
    SessionId: 1  Cid: 0354    Peb: b3cb0e2000  ParentCid: 0344
    DirBase: 409d00002  ObjectTable: ffffe18f2f09dd00  HandleCount: 251.
    Image: csrss.exe

PROCESS ffff84898e9c8580
    SessionId: 0  Cid: 0398    Peb: 5766e9000  ParentCid: 034c
    DirBase: 407a00002  ObjectTable: ffffe18f2f126740  HandleCount: 727.
    Image: services.exe

PROCESS ffff84898e9c6580
    SessionId: 0  Cid: 03ac    Peb: abceeb2000  ParentCid: 034c
    DirBase: 405000002  ObjectTable: ffffe18f2f145040  HandleCount: 825.
    Image: lsass.exe
    
省略．．．．
    
PROCESS ffff8489903de080
    SessionId: 0  Cid: 17b0    Peb: 89fc42c000  ParentCid: 0398
    DirBase: 176690002  ObjectTable: ffffe18f34754d80  HandleCount:  94.
    Image: IntelCpHeciSvc.exe

PROCESS ffff84899850e080
    SessionId: 1  Cid: 17e0    Peb: 01020000  ParentCid: 1728
    DirBase: 170980002  ObjectTable: ffffe18f347981c0  HandleCount: 238.
    Image: explorer.exe

PROCESS ffff84899855d580
    SessionId: 0  Cid: 1840    Peb: cd79837000  ParentCid: 0644
    DirBase: 173e00002  ObjectTable: ffffe18f347c0d80  HandleCount:  16.
    Image: wermgr.exe

２．　查看EPROCESS结构
NT内核使用EPROCESS 结构描述进程

6: kd> dt _eprocess ffff84899855d580
nt!_EPROCESS
   +0x000 Pcb              : _KPROCESS
   +0x2d8 ProcessLock      : _EX_PUSH_LOCK
   +0x2e0 UniqueProcessId  : 0x00000000`00001840 Void
   +0x2e8 ActiveProcessLinks : _LIST_ENTRY [ 0xfffff800`063a73b0 - 0xffff8489`9850e368 ]
   +0x2f8 RundownProtect   : _EX_RUNDOWN_REF
   +0x300 Flags2           : 0xa014
   +0x300 JobNotReallyActive : 0y0
   +0x300 AccountingFolded : 0y0
   +0x300 NewProcessReported : 0y1
   +0x300 ExitProcessReported : 0y0
   +0x300 ReportCommitChanges : 0y1
   +0x300 LastReportMemory : 0y0
   +0x300 ForceWakeCharge  : 0y0
   +0x300 CrossSessionCreate : 0y0
   +0x300 NeedsHandleRundown : 0y0
   +0x300 RefTraceEnabled  : 0y0
   +0x300 PicoCreated      : 0y0
   +0x300 EmptyJobEvaluated : 0y0
   +0x300 DefaultPagePriority : 0y010
   +0x300 PrimaryTokenFrozen : 0y1
   +0x300 ProcessVerifierTarget : 0y0
   +0x300 RestrictSetThreadContext : 0y0
   +0x300 AffinityPermanent : 0y0
   +0x300 AffinityUpdateEnable : 0y0
   +0x300 PropagateNode    : 0y0
   +0x300 ExplicitAffinity : 0y0
   +0x300 ProcessExecutionState : 0y00
   +0x300 EnableReadVmLogging : 0y0
   +0x300 EnableWriteVmLogging : 0y0
   +0x300 FatalAccessTerminationRequested : 0y0
   +0x300 DisableSystemAllowedCpuSet : 0y0
   +0x300 ProcessStateChangeRequest : 0y00
   +0x300 ProcessStateChangeInProgress : 0y0
   +0x300 InPrivate        : 0y0
   +0x304 Flags            : 0xc5d0c01
   +0x304 CreateReported   : 0y1
   +0x304 NoDebugInherit   : 0y0
   +0x304 ProcessExiting   : 0y0
   +0x304 ProcessDelete    : 0y0
   +0x304 ManageExecutableMemoryWrites : 0y0
   +0x304 VmDeleted        : 0y0
   +0x304 OutswapEnabled   : 0y0
   +0x304 Outswapped       : 0y0
   +0x304 FailFastOnCommitFail : 0y0
   +0x304 Wow64VaSpace4Gb  : 0y0
   +0x304 AddressSpaceInitialized : 0y11
   +0x304 SetTimerResolution : 0y0
   +0x304 BreakOnTermination : 0y0
   +0x304 DeprioritizeViews : 0y0
   +0x304 WriteWatch       : 0y0
   +0x304 ProcessInSession : 0y1
   +0x304 OverrideAddressSpace : 0y0
   +0x304 HasAddressSpace  : 0y1
   +0x304 LaunchPrefetched : 0y1
   +0x304 Background       : 0y1
   +0x304 VmTopDown        : 0y0
   +0x304 ImageNotifyDone  : 0y1
   +0x304 PdeUpdateNeeded  : 0y0
   +0x304 VdmAllowed       : 0y0
   +0x304 ProcessRundown   : 0y0
   +0x304 ProcessInserted  : 0y1
   +0x304 DefaultIoPriority : 0y001
   +0x304 ProcessSelfDelete : 0y0
   +0x304 SetTimerResolutionLink : 0y0
   +0x308 CreateTime       : _LARGE_INTEGER 0x01d48c65`2230444f
   +0x310 ProcessQuotaUsage : [2] 0x948
   +0x320 ProcessQuotaPeak : [2] 0x948
   +0x330 PeakVirtualSize  : 0x00000201`02933000
   +0x338 VirtualSize      : 0x00000201`02933000
   +0x340 SessionProcessLinks : _LIST_ENTRY [ 0xffffb800`ff71c010 - 0xffff8489`903de3c0 ]
   +0x350 ExceptionPortData : 0xffff8489`877e3670 Void
   +0x350 ExceptionPortValue : 0xffff8489`877e3670
   +0x350 ExceptionPortState : 0y000
   +0x358 Token            : _EX_FAST_REF
   +0x360 MmReserved       : 0
   +0x368 AddressCreationLock : _EX_PUSH_LOCK
   +0x370 PageTableCommitmentLock : _EX_PUSH_LOCK
   +0x378 RotateInProgress : (null) 
   +0x380 ForkInProgress   : (null) 
   +0x388 CommitChargeJob  : 0xffff8489`8efa5060 _EJOB
   +0x390 CloneRoot        : _RTL_AVL_TREE
   +0x398 NumberOfPrivatePages : 0x50
   +0x3a0 NumberOfLockedPages : 0
   +0x3a8 Win32Process     : 0xffff83c6`0226e010 Void
   +0x3b0 Job              : 0xffff8489`8efa5060 _EJOB
   +0x3b8 SectionObject    : 0xffffe18f`347c3880 Void
   +0x3c0 SectionBaseAddress : 0x00007ff7`e7c80000 Void
   +0x3c8 Cookie           : 0xd5e20c1
   +0x3d0 WorkingSetWatch  : (null) 
   +0x3d8 Win32WindowStation : (null) 
   +0x3e0 InheritedFromUniqueProcessId : 0x00000000`00000644 Void
   +0x3e8 LdtInformation   : (null) 
   +0x3f0 OwnerProcessId   : 0x646
   +0x3f8 Peb              : 0x000000cd`79837000 _PEB
   +0x400 Session          : 0xffffb800`ff71c000 _MM_SESSION_SPACE
   +0x408 AweInfo          : (null) 
   +0x410 QuotaBlock       : 0xfffff800`063d1bc0 _EPROCESS_QUOTA_BLOCK
   +0x418 ObjectTable      : 0xffffe18f`347c0d80 _HANDLE_TABLE
   +0x420 DebugPort        : (null) 
   +0x428 WoW64Process     : (null) 
   +0x430 DeviceMap        : 0xffffe18f`2b818ad0 Void
   +0x438 EtwDataSource    : 0xffff8489`9855c980 Void
   +0x440 PageDirectoryPte : 0
   +0x448 ImageFilePointer : 0xffff8489`98556080 _FILE_OBJECT
   +0x450 ImageFileName    : [15]  "wermgr.exe"
   +0x45f PriorityClass    : 0x5 ''
   +0x460 SecurityPort     : (null) 
   +0x468 SeAuditProcessCreationInfo : _SE_AUDIT_PROCESS_CREATION_INFO
   +0x470 JobLinks         : _LIST_ENTRY [ 0xffff8489`8efa5088 - 0xffff8489`8fbc94f0 ]
   +0x480 HighestUserAddress : 0x00007fff`ffff0000 Void
   +0x488 ThreadListHead   : _LIST_ENTRY [ 0xffff8489`9856ada8 - 0xffff8489`9856ada8 ]
   +0x498 ActiveThreads    : 1
   +0x49c ImagePathHash    : 0
   +0x4a0 DefaultHardErrorProcessing : 0x8000
   +0x4a4 LastThreadExitStatus : 0n0
   +0x4a8 PrefetchTrace    : _EX_FAST_REF
   +0x4b0 LockedPagesList  : (null) 
   +0x4b8 ReadOperationCount : _LARGE_INTEGER 0x0
   +0x4c0 WriteOperationCount : _LARGE_INTEGER 0x0
   +0x4c8 OtherOperationCount : _LARGE_INTEGER 0x0
   +0x4d0 ReadTransferCount : _LARGE_INTEGER 0x0
   +0x4d8 WriteTransferCount : _LARGE_INTEGER 0x0
   +0x4e0 OtherTransferCount : _LARGE_INTEGER 0x0
   +0x4e8 CommitChargeLimit : 0
   +0x4f0 CommitCharge     : 0x65
   +0x4f8 CommitChargePeak : 0x71
   +0x500 Vm               : _MMSUPPORT_FULL
   +0x610 MmProcessLinks   : _LIST_ENTRY [ 0xfffff800`063cc620 - 0xffff8489`9850e690 ]
   +0x620 ModifiedPageCount : 0
   +0x624 ExitStatus       : 0n259
   +0x628 VadRoot          : _RTL_AVL_TREE
   +0x630 VadHint          : 0xffff8489`9855d490 Void
   +0x638 VadCount         : 0x10
   +0x640 VadPhysicalPages : 0
   +0x648 VadPhysicalPagesLimit : 0
   +0x650 AlpcContext      : _ALPC_PROCESS_CONTEXT
   +0x670 TimerResolutionLink : _LIST_ENTRY [ 0x00000000`00000000 - 0x00000000`00000000 ]
   +0x680 TimerResolutionStackRecord : (null) 
   +0x688 RequestedTimerResolution : 0
   +0x68c SmallestTimerResolution : 0
   +0x690 ExitTime         : _LARGE_INTEGER 0x0
   +0x698 InvertedFunctionTable : (null) 
   +0x6a0 InvertedFunctionTableLock : _EX_PUSH_LOCK
   +0x6a8 ActiveThreadsHighWatermark : 1
   +0x6ac LargePrivateVadCount : 0
   +0x6b0 ThreadListLock   : _EX_PUSH_LOCK
   +0x6b8 WnfContext       : (null) 
   +0x6c0 ServerSilo       : (null) 
   +0x6c8 SignatureLevel   : 0 ''
   +0x6c9 SectionSignatureLevel : 0 ''
   +0x6ca Protection       : _PS_PROTECTION
   +0x6cb HangCount        : 0y0000
   +0x6cb GhostCount       : 0y0000
   +0x6cc Flags3           : 0xc008
   +0x6cc Minimal          : 0y0
   +0x6cc ReplacingPageRoot : 0y0
   +0x6cc Crashed          : 0y0
   +0x6cc JobVadsAreTracked : 0y1
   +0x6cc VadTrackingDisabled : 0y0
   +0x6cc AuxiliaryProcess : 0y0
   +0x6cc SubsystemProcess : 0y0
   +0x6cc IndirectCpuSets  : 0y0
   +0x6cc RelinquishedCommit : 0y0
   +0x6cc HighGraphicsPriority : 0y0
   +0x6cc CommitFailLogged : 0y0
   +0x6cc ReserveFailLogged : 0y0
   +0x6cc SystemProcess    : 0y0
   +0x6cc HideImageBaseAddresses : 0y0
   +0x6cc AddressPolicyFrozen : 0y1
   +0x6cc ProcessFirstResume : 0y1
   +0x6cc ForegroundExternal : 0y0
   +0x6cc ForegroundSystem : 0y0
   +0x6cc HighMemoryPriority : 0y0
   +0x6d0 DeviceAsid       : 0n0
   +0x6d8 SvmData          : (null) 
   +0x6e0 SvmProcessLock   : _EX_PUSH_LOCK
   +0x6e8 SvmLock          : 0
   +0x6f0 SvmProcessDeviceListHead : _LIST_ENTRY [ 0xffff8489`9855dc70 - 0xffff8489`9855dc70 ]
   +0x700 LastFreezeInterruptTime : 0
   +0x708 DiskCounters     : 0xffff8489`9855ddc8 _PROCESS_DISK_COUNTERS
   +0x710 PicoContext      : (null) 
   +0x718 TrustletIdentity : 0
   +0x720 EnclaveTable     : (null) 
   +0x728 EnclaveNumber    : 0
   +0x730 EnclaveLock      : _EX_PUSH_LOCK
   +0x738 HighPriorityFaultsAllowed : 0
   +0x740 EnergyContext    : 0xffff8489`9855ddf0 _PO_PROCESS_ENERGY_CONTEXT
   +0x748 VmContext        : (null) 
   +0x750 SequenceNumber   : 0x86
   +0x758 CreateInterruptTime : 0x77879ee
   +0x760 CreateUnbiasedInterruptTime : 0x77879ee
   +0x768 TotalUnbiasedFrozenTime : 0
   +0x770 LastAppStateUpdateTime : 0x77879ee
   +0x778 LastAppStateUptime : 0y0000000000000000000000000000000000000000000000000000000000000 (0)
   +0x778 LastAppState     : 0y000
   +0x780 SharedCommitCharge : 0x53
   +0x788 SharedCommitLock : _EX_PUSH_LOCK
   +0x790 SharedCommitLinks : _LIST_ENTRY [ 0xffffe18f`34832fe8 - 0xffffe18f`347b86d8 ]
   +0x7a0 AllowedCpuSets   : 0
   +0x7a8 DefaultCpuSets   : 0
   +0x7a0 AllowedCpuSetsIndirect : (null) 
   +0x7a8 DefaultCpuSetsIndirect : (null) 
   +0x7b0 DiskIoAttribution : (null) 
   +0x7b8 DxgProcess       : (null) 
   +0x7c0 Win32KFilterSet  : 0
   +0x7c8 ProcessTimerDelay : _PS_INTERLOCKED_TIMER_DELAY_VALUES
   +0x7d0 KTimerSets       : 0
   +0x7d4 KTimer2Sets      :
最低0.47元/天 解锁文章

200万优质内容无限畅学
使用Windbg分析多线程临界区死锁问题分享
dvlinker的技术专栏
01-03 4万+
使用Windbg分析多线程临界区死锁问题分享。
使用Windbg调试目标进程的一般步骤及要点详解
热门推荐
dvlinker的技术专栏
06-04 3万+
本文以一个具体的崩溃实例来详细讲述使用Windbg动态调试目标进程的一般步骤及相关要点。
[windbg] 进程、线程
LYSM
04-07 1118
查看所有进程信息 !process 0 0 查看当前进程信息 !process -1 1 查看指定进程名信息 !process 0 0 test.exe
WinDbg命令详解--线程
Arbboter的专栏
03-17 1万+
线程命令是以~开始，后面跟线程id（一个windbg从0开始的一个编号），或者.,#,*等，可和其他命令混合使用。 ~ 简洁地显示当前进程的所有线程， ~. 表示当前线程 ~# 表示异常或者产生调试事件的线程 ~* 表示所有线程 ~1 表示一号线程 ~2 s 表示选择2号线程作为当前线程 ~3 f 冻结三号线程 ~3 u 解冻三号线程 ~2 n
windbg分析单个服务线程数很多的问题
差池
10-17 1606
有一天突然发现生产环境单个服务的线程数很多，如下图所示： 因此我想到了两个问题，第一：为什么同时存在这么多线程？第二：线程是怎么产生的？ 一.为什么同时存在这么多线程？ 1：通过windbg分析dump文件，使用命令!threadpool查看，可以看到存在大量空闲线程： 2：用命令!threads查看线程，如下图，存在大量的MTA(Threadpool worker)，这样的线程就是空闲线程。 切换到任意一个线程，我选择了212这个线程，用命令!dumpstack输出堆栈信息，可以看到线程最后调用的是W
使用windbg调试进程线程数据结构
05-13
当学习windows驱动开发的入门者，经常使用windbg调试，进线程在驱动调试中占有很大的比重，初学者阅读这本pdf绝对是有帮助的！
Windbg 分析线程堵塞
weixin_30314813的博客
06-13 454
症状： 端午发布后，服务器出现大量报错日志，并且平均响应时间不断上升。重启机器后立刻恢复正常，但还是运行一段时间后，响应时间又开始上升。 从报错日志中发现很多DB连接池满的错误。导致这种错误一般有两个原因： 1：SQL 执行完后，DbConnection 及时没有释放。 2：SQL 执行慢，占用了大量 DbConnection 。 通过对代码彻底扫描，发现有几个 DataRead...
WinDBG使用之线程
acmumw248662的博客
07-04 180
~* 查看所有线程 ~ 0 k 查看0号线程栈回溯 转载于:https://www.cnblogs.com/Browneyes/p/4621376.html
Windbg 进程与线程 《第三篇》
ajwqb06628的专栏
05-15 307
Windbg 进程与线程 《第三篇》 　　Windbg既可以显示进程和线程列表，又可以显示指定进程或线程的详细信息。调试命令可以提供比taskmgr更详尽的进程资料，在调试过程中不可或缺。 一、进程命令 　　进程命令包括这些内容：显示进程列表、进程环境块、设置进...
使用Windbg分析多线程死锁项目实战问题分享
最新发布
dvlinker的技术专栏
08-11 5084
本文详细讲解通过Windbg分析dump文件去排查多线程死锁的项目问题，有实战参考价值！
Windbg查看调用堆栈(k*)
08-23 965
无论是分析程序崩溃原因，还是解决程序hang问题，我们最常查看的就是程序调用堆栈。学会windbg调用堆栈命令，以及理解堆栈中的各个参数的意义就显得至关重要。 上图就是一个典型的Windbg堆栈，如果不理解ChildEBP、RetAddr、Args to Child等参数意义，以及它们之间的来龙去脉，调试工作将很难进行下去。 1. 函数参数 函数...
学习Tess的Windbg调试：（一）线程Hang住分析
巴朗鱼
09-11 7164
一、准备工作 1、下载例子：BuggyBits.zip 使用IIS将下载的下来的站点架设起来。访问下主页，确保网站正常运行。 本地可以使用主机头+HOST表，建立虚拟域名，比如：www.buggybits.com 2、下载并发测试工具：IIS6 资源工具 对于本实验，该资源工具安装时，只需要勾选安装TinyGet工具。 二、模拟网站Hang住的状态 1、请求地址：ht
WinDBG调试线程
Diomedes's Place
12-20 4156
WinDBG调试线程，理解线程内部机制。初学WinDBG，参考一些文章进行简单的线程调试。 参考资料：http://bbs.pediy.com/showthread.php?p=791936 准备工作：运行被调试程序，!analyze -v分析程序，kb查看堆栈（函数执行流程）。 步骤总结：线程状态下断点，通过堆栈查看函数执行流程，查看函数反汇编代码理解内核工作流程。 个人经验：通
WinDBG 技巧：显示进程/线程环境参数(!peb 和 !teb 命令)
IE浏览器开发
03-06 5825
首先介绍PEB和TEB概念： PEB（Process Environment Block，进程环境块）存放进程信息，每个进程都有自己的PEB信息。位于用户地址空间。 TEB（Thread Environment Block，线程环境块）系统在此TEB中保存频繁使用的线程相关的数据。位于用户地址空间，在比 PEB 所在地址低的地方。进程中的每个线程都有自己的一个TEB。调试的
Windbg查看进程的_EPROCESS结构
never12345678的专栏
10-15 6182
最近研究某驱动DebugPort清零，学习了使用Windbg查看_EPROCESS结构地址，采用Syser下断查找清零代码。下面主要写下Windbg查看进程的_EPROCESS结构，便以后查阅。大家知道，每一个进程都对应一个_EPROCESS结构,我们如何确定一个进程的_EPROCESS地址呢？以notepad.exe为例使用Windbg的Kernel Debug，输入命令lkd> !process 0 0    //查看当前进程PROCESS 8a5e7088 SessionId: 0 Cid: 0ff0
使用windbg查看进程导入表
momodeconger的博客
04-13 454
查看INT表(桥1)每4个字节代表一个导入函数的地址,一共从msvcp140d.dll中导入了14个函数。由于_IMAGE_DOS_HEADER这个结构属于ntdll,所以使用下面的命令,反汇编7978aec0,这个地址对应的就是我们通过INT找到的函数。查看第一个函数的名字和序号,前2个字节是序号,后面是函数的名称。查看IAT表(函数地址表),每4个字节对应一个函数的虚拟地址。其中,0n224就是NT头的位置(这是一个RVA)查看导入表内容,每个dll对应20个字节。查看导入的dll的名字。
如何使用windbg看eprocess的结构
尘埃落定
08-27 7010
安装windbg加入 symbol path  运行WinDbg->菜单->File->Symbol File Path->按照下面的方法设置_NT_SYMBOL_PATH变量：在弹出的框中输入“C:/MyCodesSymbols;SRV*C:/MyLocalSymbols*http://msdl.microsoft.com/download/symbols”(
利用windbg探索进程和进程上下文
一介渔夫
10-18 1万+
1.列出所有活动进程 使用!process命令可以打印出活动进程的信息。第一个参数是要打印的EPROCESS的地址，如果指定为0则表示打印所有的进程。第二个参数用于说明打印进程信息的详细级别。指定0则表示打印最简单的信息。 0: kd> !process 0 0 **** NT ACTIVE PROCESS DUMP **** PROCESS 821b7490 Session
windbg context结构分析
03-28
记得在调试中，context结构保存了线程或进程的寄存器状态，这对分析崩溃或异常非常重要。不过具体每个字段的作用可能需要进一步确认。 接下来，我应该检查用户提供的引用内容。引用[1]提到符号文件包含全局变量、...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值