如何使用WinDbg设置全局断点（类似SoftICE的bpx MessageBoxA效果）

要实现所有运行的用户态程序调用MessageBoxA时触发断点，WinDbg可以通过事件驱动的断点设置来实现，具体步骤如下：

1. 以管理员身份启动WinDbg #

监控全系统用户态进程需要管理员权限，否则无法附加部分受保护进程。

2. 配置进程与模块加载事件通知 #

输入以下命令让WinDbg自动响应关键系统事件：

• sxe cpr：新用户态进程创建时触发暂停事件
• sxe ld:user32.dll：任何进程加载user32.dll时触发暂停事件

3. 为现有进程批量设置断点 #

如果要对当前已运行的所有用户态进程设置MessageBoxA断点，执行命令：

!for_each_process { bp user32!MessageBoxA }

这条命令会遍历系统内所有用户态进程，在每个进程的user32!MessageBoxA函数入口处设置断点。

4. 自动处理新进程的断点设置 #

对于后续启动的新进程，WinDbg会在进程创建或user32.dll加载时自动暂停。此时手动执行bp user32!MessageBoxA即可完成断点设置。如果想自动化这个流程，可以编写简单的WinDbg脚本：

创建一个文本文件（比如global_bp.wds），内容如下：

!for_each_process { bp user32!MessageBoxA }
sxe cpr
sxe ld:user32.dll
bp user32!MessageBoxA
g

在WinDbg中执行$>< global_bp.wds加载脚本，脚本会自动完成现有进程的断点配置，并在新事件触发时自动处理断点设置。

5. 验证断点效果 #

启动任意调用MessageBoxA的程序（比如编写简单测试程序，或使用系统自带工具），WinDbg会立即触发断点。此时可使用以下调试命令：

• k：查看调用栈，确认断点触发位置
• r：查看寄存器状态
• g：继续执行程序

注意事项 #

• 64位系统中，调试32位进程需使用WinDbg x86版本，避免模块地址不匹配问题
• 系统启用ASLR（地址空间布局随机化）时，模块基址会动态变化，依赖固定地址的断点方法不可靠，推荐使用上述事件驱动的方式
• 若需临时禁用全局断点，可执行bc *清除所有断点，再按需重新配置

内容的提问来源于stack exchange，提问作者user5785018