我正在尝试在 kernel32.WriteFile 上设置断点（或 KERNELBASE.dll 导出），并让断点自动打印堆栈返回地址以及 nNumberOfBytesToWrite 参数（在对stdcall WriteFile的调用堆栈中，该参数位于 esp+0x0C 处）。期望的输出是在每次命中时打印两个双字，首个为返回地址，第二个为写入长度，例如：
但放在断点命令框中的命令或在命令行中输入的命令都会被拒绝。
我需要了解为什么命令会被拒绝。使用的x32dbg版本为apr 20 2026, 19:02:46。
以下是一些带有错误的示例：

1. dd esp L1
   错误： Invalid value: "espL1"!
2. dd esp+0x0C L1
   错误： Invalid value: "0CL1"!（在某些日志中也被报告为 Invalid value: "0x0CL1"!）
3. dd esp L1; dd esp+0x0C L1; gc（单行尝试）
   症状： 命令解析器将标记连接在一起并产生 Invalid value 错误。
4. dd @esp L1 / dd @esp+0x0C L1（尝试了 @ 变体）
   混合结果： 有时在INT3之后手动输入时会被接受，但断点命令框仍然拒绝类似文本。
5. bp kernel32.WriteFile "dd @esp L1; dd @esp+0x0C L1; g"（尝试从调试器命令行设置断点）
   错误： Invalid addr: "kernel32.WriteFiledd @esp L1; dd @esp+0x0C L1; g"（这表示命令字符串被解析器连接到了符号名；断点未按预期设置。）
6. 调试时我多次看到的断点日志消息：INT3 breakpoint at <kernel32.WriteFile> (74FDEED0)! — 断点正在被触发，但命令未按预期执行。

解决方案

请使用x64dbg的断点日志文本，而不是 dd ... L1。dd 是一个汇编伪指令，不是格式化字符串！

对于 kernel32.WriteFile：

bp kernel32.WriteFile
bplog kernel32.WriteFile, "ret={p:[esp]} len={x:[esp+C]}"
bpcond kernel32.WriteFile, 0

对于 KERNELBASE.WriteFile：

bp KERNELBASE.WriteFile
bplog KERNELBASE.WriteFile, "ret={p:[esp]} len={x:[esp+C]}"
bpcond KERNELBASE.WriteFile, 0

为什么：

bp 只设置断点。 bplog 为现有软件断点设置日志格式字符串，x64dbg命令参数是逗号分隔的，而不是空格分隔。格式化器语法是 {type:expression}；[esp] 会对返回地址解引用，[esp+C] 会对 nNumberOfBytesToWrite 进行解引用。 (另请参阅 格式化文档!)

设置 bpcond ..., 0 会让它在不停止的情况下记录日志。如果你想在该点实际断下并记录日志，可以省略 bpcond 命令。

总的来说，我建议学习 文档，那里对所有命令都做了解释！