时间旅行调试不是科幻——WinDbg Preview 的 TTD 是怎么把“崩溃前一秒”变成可触摸的？
你有没有过这样的经历：
一个蓝屏在客户机器上稳定复现，你远程连过去，刚加载符号、下好断点，它就不来了；
一个 UAF 漏洞在本地跑一百次只崩一次，每次堆布局还都不一样；
安全研究员发来一个ACCESS_VIOLATION截图，调用栈里全是ntdll!RtlpFreeHeap后面跟着一串问号——你盯着屏幕，知道问题一定出在某次free和某次use之间，但中间隔着几十毫秒、数万条指令、三个线程切换、两次页表更新……而这一切，你永远无法再亲眼看见。
这不是调试，这是考古。
而 WinDbg Preview 的时间旅行调试（Time-Travel Debugging, TTD），就是给 Windows 工程师配了一台高精度时间显微镜。
它不靠猜，不靠运气，不靠重放十遍——它把整个程序执行过程，像录像带一样存下来，然后允许你倒带、暂停、逐帧放大、跳转到任意一条指令执行完的瞬间，查看那一刻 RAX 是多少、RCX 指向哪块内存、IDT 第 14 号中断门是否被篡改、甚至内核栈上第 7 层函数的局部变量值。
这不是模拟，不是插桩，更不是日志回放。它是 Windows 内核与 CPU 硬件协同完成的一次确定性快照工程。
它到底录了什么？——不是内存镜像，而是“执行历史”
很多人第一反应是：“这不就是个高级内存 dump？”
错。非常错。
传统.dmp文件记录的是某一时刻的静态快照：寄存器值、线程状态、已提交内存页内容。但它完全丢失了时序和因果链——你看到一个非法指针，却不知道它上一秒是谁分配的、上上秒被谁释放的、再往前是谁把它写进了虚表。
TTD 录的，是程序执行本身。准确说，是以下四类事件的精确时序流：
| 类型 | 示例 | 为什么关键 |
|---|---|---|
| 控制流事件 | JMP,CALL,RET,INT 3,SYSCALL | 构成执行路径骨架，决定“程序走到哪了” |
| 寄存器变更 | MOV RAX, RCX,INC RDX | 每次写入都被捕获，支持r rax @t=123456精确查值 |
| 内存访问 | MOV [RDI], RAX,CMP DWORD PTR [RSI+8], 0 | 不录全部数据，但录地址+操作类型（读/写/执行），配合页表快照可还原内容 |
| 系统态切换 |
