蛙蛙推荐：windbg里查看DateTime值

蛙蛙推荐：windbg里查看DateTime值
我们都知道在windbg里可以用!do命令查看一个引用对象的详细信息，但像DateTime,Guid,IpAddress等并不能直接用windbg命令打印出来。
我们一个一个说，先创建一个console程序叫DateTimeTest，在属性页里启用非托管代码调试，代码如下
using System;
namespace DateTimeTest
{
    class Program
    {
        static void Main(string[] args)
        {
            DateTime dt = DateTime.Now;
            Console.WriteLine(dt);
            Console.Read();
        }
    }
}
并在Console.Read();行上加入断点，F5启动调试程序，断点断住后，在即使窗口里输入如下命令
.load sos
已加载扩展 C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\sos.dll
!Name2EE *!System.DateTime
PDB symbol for mscorwks.dll not loaded
Module: 790c2000 (mscorlib.dll)
Token: 0x02000032
MethodTable: 79104b50
EEClass: 79104aec
Name: System.DateTime
--------------------------------------
Module: 00a9205c (sorttbls.nlp)
--------------------------------------
Module: 00a923cc (prcp.nlp)
--------------------------------------
Module: 00a927cc (mscorlib.resources.dll)
--------------------------------------
Module: 00a72c24 (DateTimeTest.exe)

!clrstack -a
OS Thread Id: 0xcd4 (3284)
ESP       EIP    
0012f434 011300d5 DateTimeTest.Program.Main(System.String[])
    PARAMETERS:
        args = 0x013e1b20
    LOCALS:
        0x0012f43c = 0x88f0476c

0012f69c 79e7be1b [GCFrame: 0012f69c]

!DumpVC  79104b50 0x0012f43c
Name: System.DateTime
MethodTable 79104b50
EEClass: 79104aec
Size: 16(0x10) bytes
 (C:\WINDOWS\assembly\GAC_32\mscorlib\2.0.0.0__b77a5c561934e089\mscorlib.dll)
Fields:
      MT    Field   Offset                 Type VT     Attr    Value Name
791042d4  40000f4        0        System.UInt64  0 instance 9856781253186963308 dateData
79122414  40000f0       30       System.Int32[]  0   shared   static DaysToMonth365
    >> Domain:Value  0014d3b0:013e1c78 <<
79122414  40000f1       34       System.Int32[]  0   shared   static DaysToMonth366
    >> Domain:Value  0014d3b0:013e1cb8 <<
79104b50  40000f2       28      System.DateTime  1   shared   static MinValue
    >> Domain:Value  0014d3b0:013e1c58 <<
79104b50  40000f3       2c      System.DateTime  1   shared   static MaxValue
    >> Domain:Value  0014d3b0:013e1c68 <<

9856781253186963308这个值是一个ULong类型的，DateTime的构造函数不支持这个类型的重载，Convert.ToDateTime对这个参数的重载版本也是始终返回异常，然后看MSDN里对DateTime的说明
在 .NET Framework 2.0 版以前，DateTime 结构包含一个 64 位字段，该字段由一个未使用的 2 位字段和一个私有字段 Ticks 串联组成，Ticks 字段是一个 62 位无符号字段，其中包含表示日期和时间的刻度数。Ticks 字段的值可通过 Ticks 属性获取。

从 .NET Framework 2.0 开始，DateTime 结构包含一个由私有字段 Kind 和 Ticks 字段串联组成的 64 位字段。Kind 字段是一个 2 位字段，它指示 DateTime 结构是表示本地时间、协调通用时间 (UTC) 还是 UTC 和本地时间都未指定。Kind 字段用于处理本地时间和 UTC 时间之间的转换，但不用于时间的比较或算术运算。Kind 字段的值可通过 Kind 属性获取。

所以我们要把9856781253186963308这个值转换成2进制，然后把高位的2位换成零，然后在传入DateTime的构造函数里，具体代码如下
using System;
using System.IO;

namespace DateTimeTest
{
    class Program
    {
        static void Main(string[] args)
        {
            MemoryStream ms = new MemoryStream();
            BinaryWriter bw = new BinaryWriter(ms);
            bw.Write(9856781253186963308UL);
            byte[] bs = ms.ToArray();
            bs[7] = (byte)(bs[7] & 63);
            ms = new MemoryStream(bs);
            BinaryReader br = new BinaryReader(ms);
            Int64 i = br.ReadInt64();
            Console.WriteLine(new DateTime(i));
            Console.Read();
        }
    }
}
其中把第8个字节按位于上63就是把高位2位置0，因为63的二进制是00111111。
后来ReflectorDateTime的代码，发现.net里有一个类似的函数，只用以下代码就OK了
Console.WriteLine(new DateTime((long)(9856781253186963308UL & 0x3fffffffffffffffL)));
同理，IPAddress的代码如下
IPAddress ip = IPAddress.Parse("192.168.1.1");
windbg分析如下
!clrstack -a
OS Thread Id: 0x338 (824)
ESP       EIP    
0012f438 011300aa DateTimeTest.Program.Main(System.String[])
    PARAMETERS:
        args = 0x013e1b20
    LOCALS:
        0x0012f440 = 0x013e1d40

0012f69c 79e7be1b [GCFrame: 0012f69c]

!do 0x013e1d40
Name: System.Net.IPAddress
MethodTable: 7a77d078
EEClass: 7a7dc4f8
Size: 40(0x28) bytes
 (C:\WINDOWS\assembly\GAC_MSIL\System\2.0.0.0__b77a5c561934e089\System.dll)
Fields:
      MT    Field   Offset                 Type VT     Attr    Value Name
790fb9bc  400209c        4         System.Int64  0 instance 16885952 m_Address
790f9244  400209d       14        System.String  0 instance 013fd0e4 m_ToString
7a787ec0  40020a1       1c         System.Int32  0 instance        2 m_Family
7912a84c  40020a2       18      System.UInt16[]  0 instance 013e1d68 m_Numbers
790fb9bc  40020a3        c         System.Int64  0 instance 0 m_ScopeId
790fdb60  40020a4       20         System.Int32  0 instance        0 m_HashCode
7a77d078  4002098      7b4 System.Net.IPAddress  0   static 013fcef8 Any
7a77d078  4002099      7b8 System.Net.IPAddress  0   static 013fcf3c Loopback
7a77d078  400209a      7bc System.Net.IPAddress  0   static 013fcf80 Broadcast
7a77d078  400209b      7c0 System.Net.IPAddress  0   static 013fcf80 None
7a77d078  400209e      7c4 System.Net.IPAddress  0   static 013fcfe0 IPv6Any
7a77d078  400209f      7c8 System.Net.IPAddress  0   static 013fd040 IPv6Loopback
7a77d078  40020a0      7cc System.Net.IPAddress  0   static 013fd0a0 IPv6None

最终可用如下函数得到IP
private static string IntToIP(long ip_Int)
{
    long num = ((ip_Int & 0xff000000L) >> 0x18);
    if (num < 0L)
    {
        num += 0x100L;
    }
    long num2 = (ip_Int & 0xff0000L) >> 0x10;
    if (num2 < 0L)
    {
        num2 += 0x100L;
    }
    long num3 = (ip_Int & 0xff00L) >> 8;
    if (num3 < 0L)
    {
        num3 += 0x100L;
    }
    long num4 = ip_Int & 0xffL;
    if (num4 < 0L)
    {
        num4 += 0x100L;
    }
    return (num4 + "." + num3 + "." + num2 + "." + num);
}
或者用以下语句（支持IPV6啥的）
Console.WriteLine(new IPAddress(16885952));
GUID类型dumpvc后是a到k的一串值，有int,short,byte的都有，你要一步一步的把值查出来，然后写一个程序传给System.Guid的构造函数，然后ToString()方法后才能看到,比较麻烦，如果能在windbg里动态执行某个对象的方法就好了，比如ToString()方法