(转)findstr 命令学习
findstr 命令学习
findstr 是 Windows 自带的一个实用程序，用来查找文件中的字符串，支持正则表达式。
命令行如下：
FINDSTR [/B] [/E] [/L] [/R] [/S] [/I] [/X] [/V] [/N] [/M] [/O] [/F:file]
[/C:string] [/G:file] [/D:dir list] [/A:color attributes] [/OFF[LINE]
strings [[drive:][path]filename[ ...]]
/B 在一行的开始配对模式。
/E 在一行的结尾配对模式。
/L 按字使用搜索字符串。
/R 将搜索字符串作为一般表达式使用。
/S 在当前目录和所有子目录中搜索
匹配文件。
/I 指定搜索不分大小写。
/X 打印完全匹配的行。
/V 只打印不包含匹配的行。
/N 在匹配的每行前打印行数。
/M 如果文件含有匹配项，只打印其文件名。
/O 在每个匹配行前打印字符偏移量。
/P 忽略有不可打印字符的文件。
/OFF[LINE] 不跳过带有脱机属性集的文件。
/A:attr 指定有十六进位数字的颜色属性。请见 "color /?"
/F:file 从指定文件读文件列表 (/ 代表控制台)。
/C:string 使用指定字符串作为文字搜索字符串。
/G:file 从指定的文件获得搜索字符串。 (/ 代表控制台)。
/D:dir 查找以分号为分隔符的目录列表
strings 要查找的文字。
[drive:][path]filename
指定要查找的文件。
除非参数有 /C 前缀，请使用空格隔开搜索字符串。
例如: 'FINDSTR "hello there" x.y' 在文件 x.y 中寻找 "hello" 或
"there" 。 'FINDSTR /C:"hello there" x.y' 文件 x.y 寻找
"hello there"。
一般表达式的快速参考:
. 通配符: 任何字符
* 重复: 以前字符或类别出现零或零以上次数
^ 行位置: 行的开始
$ 行位置: 行的终点
[class] 字符类别: 任何在字符集中的字符
[^class] 补字符类别: 任何不在字符集中的字符
[x-y] 范围: 在指定范围内的任何字符
\x Escape: 元字符 x 的文字用法
\<xyz 字位置: 字的开始
xyz\> 字位置: 字的结束
和其它工具结合起来使用时比较方便，下面的命令演示了结合 dumpbin 工具查找 ntdll.dll 导出表中所有和 port 相关的函数。
d:\>dumpbin /exports c:\WINDOWS\system32\ntdll.dll | findstr /i port
Section contains the following exports for ntdll.dll
86 4E 0000D379 NtAcceptConnectPort = _NtAcceptConnectPort@24
115 6B 0000D5DA NtCompleteConnectPort = _ZwCompleteConnectPort@4
117 6D 0000D604 NtConnectPort = _NtConnectPort@32
133 7D 0000D73F NtCreatePort = _NtCreatePort@20
143 87 0000D811 NtCreateWaitablePort = _ZwCreateWaitablePort@20
178 AA 0000DADB NtImpersonateClientOfPort = _ZwImpersonateClientOfPort@8
184 B0 0000DB59 NtListenPort = _NtListenPort@8
242 EA 0000E006 NtQueryInformationPort = _ZwQueryInformationPort@20
255 F7 0000EAB0 NtQueryPortInformationProcess = _ZwQueryPortInformationProcess@0
277 10D 0000E2D0 NtRegisterThreadTerminatePort = _NtRegisterThreadTerminatePort@4
285 115 0000E363 NtReplyPort = _ZwReplyPort@8
286 116 0000E378 NtReplyWaitReceivePort = _NtReplyWaitReceivePort@16
287 117 0000E38D NtReplyWaitReceivePortEx = _ZwReplyWaitReceivePortEx@20
288 118 0000E3A2 NtReplyWaitReplyPort = _NtReplyWaitReplyPort@8
290 11A 0000E3CC NtRequestPort = _NtRequestPort@8
291 11B 0000E3E1 NtRequestWaitReplyPort = _NtRequestWaitReplyPort@12
301 125 0000E4B3 NtSecureConnectPort = _ZwSecureConnectPort@36
306 12A 0000E51C NtSetDefaultHardErrorPort = _NtSetDefaultHardErrorPort@4
442 1B3 00058037 RtlComputeImportTableHash = _RtlComputeImportTableHash@12
896 37F 0000D379 ZwAcceptConnectPort = _NtAcceptConnectPort@24
925 39C 0000D5DA ZwCompleteConnectPort = _ZwCompleteConnectPort@4
927 39E 0000D604 ZwConnectPort = _NtConnectPort@32
943 3AE 0000D73F ZwCreatePort = _NtCreatePort@20
953 3B8 0000D811 ZwCreateWaitablePort = _ZwCreateWaitablePort@20
987 3DA 0000DADB ZwImpersonateClientOfPort = _ZwImpersonateClientOfPort@8
993 3E0 0000DB59 ZwListenPort = _NtListenPort@8
1051 41A 0000E006 ZwQueryInformationPort = _ZwQueryInformationPort@20
1064 427 0000EAB0 ZwQueryPortInformationProcess = _ZwQueryPortInformationProcess@0
1086 43D 0000E2D0 ZwRegisterThreadTerminatePort = _NtRegisterThreadTerminatePort@4
1094 445 0000E363 ZwReplyPort = _ZwReplyPort@8
1095 446 0000E378 ZwReplyWaitReceivePort = _NtReplyWaitReceivePort@16
1096 447 0000E38D ZwReplyWaitReceivePortEx = _ZwReplyWaitReceivePortEx@20
1097 448 0000E3A2 ZwReplyWaitReplyPort = _NtReplyWaitReplyPort@8
1099 44A 0000E3CC ZwRequestPort = _NtRequestPort@8
1100 44B 0000E3E1 ZwRequestWaitReplyPort = _NtRequestWaitReplyPort@12
1110 455 0000E4B3 ZwSecureConnectPort = _ZwSecureConnectPort@36
1115 45A 0000E51C ZwSetDefaultHardErrorPort = _NtSetDefaultHardErrorPort@4
