如何在WinDbg中定位访问特定内存地址的汇编代码位置

动态调试捕获实时访问（推荐） #

通过硬件断点捕获所有对目标地址的读写操作，直接定位触发访问的代码：

• 设置硬件读写断点：执行命令 ba r4 0x140000（r4 表示监控4字节读写，可根据需求改为 r1/r2/r8 对应不同宽度；0x140000 替换为你要监控的目标内存地址）。
• 运行程序：执行 g 命令让程序继续运行，当代码访问目标地址时会自动触发断点。
• 记录代码位置：触发断点后，当前指令即为访问目标地址的代码，可通过 r rip 获取该指令的虚拟地址，再用 u rip 查看对应反汇编确认。重复执行 g 可捕获所有访问该地址的代码位置。

静态分析搜索目标地址引用 #

如果不需要动态运行，可直接在已加载的可执行文件中搜索所有访问目标地址的指令：

• 确定代码段范围：执行 !dh <模块基址>（模块基址可通过 lm 命令获取，比如 lm m myexe），找到 .text 段的起始和结束地址。
• 搜索访问指令：执行搜索命令，例如查找所有以目标地址为操作数的指令：

  s -u <.text起始地址> <.text结束地址> "mov dword ptr [0x140000], eax"
  s -u <.text起始地址> <.text结束地址> "mov eax, dword ptr [0x140000]"
  

  需根据指令类型（如 add/sub/cmp 等）和操作数宽度调整搜索内容，覆盖所有可能的访问形式。
• 查看结果：搜索返回的地址即为访问目标内存的代码位置，用 u <返回地址> 可查看对应反汇编。

内容的提问来源于stack exchange，提问作者GBI