如何在WinDbg扩展中实现可点击命令？

你在开发WinDbg扩展时，想要实现示例中的可点击命令效果，无需额外引入新API，使用你当前代码里的IDebugControl::Output（或OutputVaList）即可实现，核心是按照WinDbg的可点击文本格式构造输出内容。

现有代码 #

#define KDEXT_64BIT
#include "EPBreaker.hpp"
#include "PEInformation.hpp"
#include "PEReader.hpp"

#include <wdbgexts.h>
#include <dbgeng.h>

#include <cstdio>
#include <string>
#include <filesystem>

#define EXTENSION_VERSION_MAJOR 1
#define EXTENSION_VERSION_MINOR 0

extern "C" __declspec(dllexport) HRESULT CALLBACK EPBreaker(IDebugClient4* Client, std::string* Args)
{
    IDebugControl* ptrIDebugControl = 0;
    IDebugSymbols4* ptrIDebugSymbols = 0;
    IDebugBreakpoint* ptrIDebugBreakpoint = 0;
    if (Client->QueryInterface(__uuidof(IDebugControl), (PVOID*)&ptrIDebugControl)
        != S_OK) {
        ptrIDebugControl->Output(DEBUG_OUTCTL_ALL_CLIENTS, "ERROR ON IDebugControl QueryInterface");
        return S_FALSE;
    }

    if (Client->QueryInterface(__uuidof(IDebugSymbols4), (PVOID*)&ptrIDebugSymbols)
        != S_OK) {
        ptrIDebugControl->Output(DEBUG_OUTCTL_ALL_CLIENTS, "ERROR ON IDebugSymbols QueryInterface\n");
        return S_FALSE;
    }

    std::filesystem::path PathToCurrentDebugging;
    {
        std::string ModuleName; ModuleName.resize(MAX_PATH);
        ptrIDebugSymbols->GetModuleNameString(DEBUG_MODNAME_SYMBOL_FILE, 0, DEBUG_ANY_ID, ModuleName.data(), ModuleName.size(), NULL);

        PathToCurrentDebugging = ModuleName;
    }
    PEInformation PEInformation;
    PeReader PeReader;

    ptrIDebugControl->Output(DEBUG_OUTCTL_ALL_CLIENTS, "PeReader: %s\n", PathToCurrentDebugging.string().c_str());
    PEInformation = PeReader.Pe(PathToCurrentDebugging, ptrIDebugControl, PEInformation);

    uint64_t EP = PEInformation.pImageNTHeader64->OptionalHeader.AddressOfEntryPoint + PEInformation.pImageNTHeader64->OptionalHeader.ImageBase;

    ptrIDebugControl->Output(DEBUG_OUTCTL_ALL_CLIENTS, "EP: %p\n", EP);

    return S_OK;
}

extern "C" __declspec(dllexport) HRESULT CALLBACK DebugExtensionInitialize(PULONG Version, PULONG Flag)
{
    *Version = DEBUG_EXTENSION_VERSION(EXTENSION_VERSION_MAJOR, EXTENSION_VERSION_MINOR);
    *Flag = 0;
    return S_OK;
}

实现可点击命令的具体方式 #

WinDbg支持两种常见的可点击文本格式，通过IDebugControl::Output输出即可：

1. 可点击内存地址：直接用%p格式输出地址（如你代码中EP: %p），WinDbg会自动将地址识别为可点击链接，点击后跳转至对应内存的反汇编窗口。
2. 可点击自定义命令：用${<命令内容>}包裹扩展命令，比如输出${!epbreaker}，WinDbg会将这段文本渲染为可点击按钮，点击后自动执行对应的扩展命令。如果需要传递参数，可直接写入，例如${!epbreaker arg1 arg2}。

示例修改：

// 输出可点击的入口点地址
ptrIDebugControl->Output(DEBUG_OUTCTL_ALL_CLIENTS, "入口点地址（点击跳转）: %p\n", EP);

// 输出可点击的扩展命令按钮
ptrIDebugControl->Output(DEBUG_OUTCTL_ALL_CLIENTS, "点击重新执行扩展命令: ${!epbreaker}\n");

注意事项 #

• 确保你的扩展命令已正确注册，WinDbg能识别!epbreaker这类命令标识。
• 若使用OutputVaList，语法逻辑与Output一致，仅参数传递方式不同。

内容的提问来源于stack exchange，提问作者Leo Galante