WinDbg中是否支持撤销内存修改操作？

哎，这个问题我之前调试的时候也踩过坑！很遗憾的是，WinDbg（包括WinDbg Preview）默认并没有内置的撤销内存修改功能——不管是你尝试的CTRL-Z快捷键，还是翻遍整个菜单栏，都找不到对应的撤销选项。

这背后的原因其实很好理解：当你在Memory窗口里手动修改，或者用eb/ed/eq这类内存写入命令修改目标进程内存时，这些操作是直接对进程的虚拟内存空间进行写入的，WinDbg不会自动记录每一次修改的历史快照，自然也就没办法提供撤销的回溯能力。

不过别慌，我们可以用这些替代方案来模拟“撤销”的效果：

• 修改前手动备份内存区域：在改动某段内存前，先用内存读取命令（比如db查看字节内容、dq查看64位数值）把要修改的区域内容复制下来，存到记事本或者随便什么地方。要是改坏了，再用eb/ed等命令把备份的内容写回去就行。
• 提前创建内存转储快照：在修改内存前，执行命令 .dump /ma my_pre_modify_dump.dmp 生成目标进程的全内存转储文件。如果修改后出了问题，直接重新加载这个转储文件，就能回到修改前的状态了。
• 自定义脚本或第三方扩展：有些社区大佬开发的WinDbg扩展可能带了内存修改的历史记录功能，或者你也可以自己写个简单的脚本，每次修改前自动备份目标区域，需要回滚时运行脚本恢复就行——不过这类工具不是官方支持的，得自己折腾折腾。

总的来说，WinDbg本身没有一键撤销内存修改的功能，但通过提前备份的方式，完全可以实现类似的回滚效果。

内容的提问来源于stack exchange，提问作者daisy