SoftICE与TRW2000操作入门
由于TRW2000命令和操作完全兼容SoftICE，因此如不特殊说明，在本文对SoftICE的叙说都适合TRW2000。
SoftICE的所有操作都发生在一个可以随时可激活的调试窗口中，在这个窗口中可以监视Windows应用程序和系统的运行。
一、 调试窗口简介
我们假设你的SoftICE己经正常运行，此时在Windows里按"Ctrl+D"键就可以呼出SoftICE的调试窗口，当需要返回到Windows系统时，再按"Ctrl+D"键，也可使用X命令或按F5键。激活的调试窗口如图2.14所示，分为寄存器窗口、数据窗口、代码窗口、浮点窗口和命令窗口等部分。
如是在TRW2000环境下，激活是按"CTRL+N"，和SoftICE不同的是TRW2000中没有浮点窗口，不过有一个堆栈窗口。
（图一）SoftICE或TRW2000调试截图
1、寄存器窗口
在这里可以观察到各种寄存器的当前值，如数据寄存器EAX、EBX、ECX、EDX和控制寄存器（EIP和PSW）等，有一点要注意了，由于我们是在Windows平台下，所以看到的都是80386寄存器集，其与16位寄存器差别在前多了一字符"E"，意为16位寄存器扩展。
2、数据窗口
在数据窗口显示指定内存处中的数据，以十六进制和ASCII同时显示，这可以说是我们的眼睛，因此有必要了解一下各部分的含义。
（图二）
①号位置的0030：这是段选择器。
在Windows的保护模式下CS、DS、ES、SS、FS和GS不叫段寄存器，叫段选择器。在保护模式中，内存分为了好多的段，在TRW200下用GDT就可以看到段的编号、类型、开始物理地址、大小、属性。让我们看看编号0030是什么东西：
（图三）
这个段是32位数据类型，长度为4G ，我们还可以看到很多的段，它们有可能会指向同一个物理地址，但它们的类型，属性可能不同。如一些段指向的地址是不可读写的，但另外一个段指向的同一物理地址是可读写的！如果我们通过不可写的那段的编号放到段选择器，然后进行读写操作，肯定死掉了。 但换了另外一个段对同一个地方读写那就没问题！保护模式的内存管理挺有趣的，感兴趣的不妨看看这方面的书，当然作为初学者只需稍微了解就可。
②号位置00000000：此处表示内存的虚拟地址。
③号位置的值是当前内存的数据，以十六进制表示。
④号位置的值是"③"处值的另一种表示方法：ASCII码。
3、代码窗口
此处显示的是当前程序的代码，因为不管是什么程序，最终在CPU执行时都是以机器语言方式，而汇编语言和机器语言是一一对应的，因此SoftICE为了方便我们理解，把所监视的代码以汇编代码形式显示在我们面前。例如：
（图四）
①段选择器；
②虚拟地址；
③机器码：这就是CPU执行的机器代码，此处是以十六进制表示。你可用Code on/off打开或关闭这项的显示。
④汇编指令：和机器码对应的程序代码。
4、堆栈窗口
这个是TRW2000特有的，通过它很方便监视堆栈的状况。
5、命令窗口
这是各种命令执行的地方，在屏幕底部的动作状态行显示执行命令的各种提示，以及可提供指令语法帮助。
6、程序领空
所谓领空，实际上是指：在某一时刻，CPU 的 CS:IP(EIP) 所指向的某一段代码的所有者所在的区域。此例中SoftICE所停下来时光标所指的那一句代码是属于KERNEL32.DLL的，因此就叫KERNEL32.DLL领空，在图2.14中，可看到的领空名是KERNEL32!.text，那我怎么知道它就是KERNEL32.DLL文件呢？这个主要是经验，KERNEL32.DLL是Windows系统文件，在SoftICE里显示领空名时不显示扩展名，只是显示前一部份。
|
