观察Windows的内核模块、数据结构和函数
1， 启动WinDbg的本地内核调试（File > Kernel Debug… > Local）。
2， 键入.symfix c:"symbols设置符号服务器和用于存储符号文件的本地目录。
3， 键入.sympath观察当前的符号路径。其结果应该如下所示：
lkd> .sympath
Symbol search path is: SRV*c:"symbols*http://msdl.microsoft.com/download/symbols
4， 键入.reload重新加载符号。可能需要较长时间，请耐心等待。
5， 键入lm命令列出所有内核模块。寻找HAL，NT等模块，观察其在内存中的起止位置。
6， 键入!process 0 0命令列出当前系统内运行的所有进程。
7， 键入!process 4显示系统进程（System）的概况和各个线程。记录下该进程的进程结构（PROCESS）地址。
lkd> !process 4
Searching for Process with Cid == 4
PROCESS 86fb7660 SessionId: none Cid: 0004 Peb: 00000000 ParentCid: 0000
DirBase: 00039000 ObjectTable: e1001c78 HandleCount: 396.
Image: System
VadRoot 86fae870 Vads 4 Clone 0 Private 3. Modified 124205. Locked 0.
DeviceMap e1005470
8， 通过dt命令（dt nt!_EPROCESS）观察进程的_EPROCESS结构。
9， 在dt nt!_EPROCESS命令后加上第7步记录下的地址，显示系统进程的_EPROCESS结构的各个值。
lkd> dt nt!_EPROCESS 86fb7660
+0x000 Pcb : _KPROCESS
+0x06c ProcessLock : _EX_PUSH_LOCK
10， 键入x nt!*命令列出内核文件（NTOSKRNL）所包含的符号。尝试使用不同的表达式来选择显示某些符号，比如x nt!Dbgk*显示所有以Dbgk开头的符号。
11， 关闭WinDbg结束调试。