WinDbg深度调试实战：从!process到!thread，直击Windows内核对象本质
你有没有遇到过这样的场景：服务卡在“Starting”状态死活不动，任务管理器里CPU占用率明明不高，但某个进程的句柄数却一天暴涨上万；或者蓝屏转储文件打开后，!analyze -v只告诉你“KERNEL_SECURITY_CHECK_FAILURE”，可翻遍堆栈也找不到哪行驱动代码动了不该动的内存？这时候，光靠kb看调用栈、靠lm查模块列表已经远远不够了——你需要一把能切开Windows执行体（Executive）表皮的刀，直接看到EPROCESS和ETHREAD在内存里真实躺着的样子。
这把刀，就是!process和!thread。它们不是WinDbg里“挺好用的命令”，而是Windows内核对象模型在调试器中的原生投影。用得对，它能在30秒内定位句柄泄漏源头；用错了，你可能对着一屏地址发呆两小时，还误判是硬件问题。
下面的内容，不讲概念复述，不列参数手册，而是带你回到调试现场：从一次真实的svchost.exe线程挂起故障出发，一层层拆解这两个命令到底在做什么、为什么这么设计、哪些坑连微软文档都没明说，以及——最关键的是，下次再遇到类似问题，你该先敲哪一行命令、看哪几个字段、跳过哪些干扰信息。
!process：不只是进程列表，是整个进程生命周期的快照
很多工程师第一次用!process 0 0，看到满屏PID和进程名，就以为“哦，这是个高级版任务管理器”。其实不然。!process输出的第一行，比如：
PROCESS fffff801`4b2a8040 SessionId: 1 Cid: 03a8 Peb: 7ff6c9e5d000 ParentCid: 02f4 DirBase: 1c700002 ObjectTable: ffff9801`5e3b2000 HandleCount: 128. Image: services.exe这一行里的每个字段，都是EPROCESS结构体中一个真实内存偏移上的值。DirBase是CR3寄存器值，直接决定这个进程的页表根；ObjectTable是句柄表基址，所有OpenProcess、CreateFile返回的句柄都存在这里；HandleCount和PointerCount的差值，往往就是泄漏的起点。
真正关键的三个参数组合
| 命令 | 适用场景 | 为什么不能只用默认 |
|---|---|---|
!process 0 0 <name> | 快速定位目标进程（如notepad.exe） | 避免手动grep PID，尤其在多实例场景下（多个conhost.exe） |
!process <pid> 7 | 深度排查句柄泄漏 | 7级输出会列出每一个句柄项：类型（Event、Section、Key）、访问掩码（0x1f0003）、被引用次数。你会发现某个TYPE: Window句柄PointerCount=3但HandleCount=0——说明窗口已销毁，但仍有3处代码拿着无效指针 |
!process <pid> v | 分析内存异常（OOM、栈溢出、DLL注入） | v会打印完整的VAD树。重点看MEM_COMMIT |
