zoukankan      html  css  js  c++  java
  • WinDbg下载符号文件(内核层、用户层)

    一、符号文件的用处

    • 符号文件即PBD(Program Debug DataBase)文件,他的用处是让调试器能够将地址与函数名对应,例如:WinDBG中输入命令u NtClose就能定位到NtClose函数的地址,输入u FFFFF80435A4940就能识别出此地址是NtClose函数
      在这里插入图片描述
    • 判断是否需要下载PBD
      在winDbg中尝试反汇编输入一些函数名,如u KiSystemServiceUseru KiSystemCall64,如果提示「Couldn’t resolve error at ‘XXXXXX’」则说明调试符号没有下载完整。
      在这里插入图片描述

    二、下载符号文件(微软官方符号服务器无法访问)

    • WinDbg中输入命令设置调试符号路径:
      .sympath SRV*c:mySymbols*http://msdl.microsoft.com/download/symbols
      .reload
      SRV*[符号缓存]*服务器地址
      语法由SRV引导,符号缓存和服务器地址的前面各有一个星号引导,当服务器找不到调试符号时会自动在本地缓存路径下寻找调试符号,如果要调试自己写的驱动,就把本地路径写为本地pbd文件的路径。
    • 看到报错「 HttpSendRequest: 800C2EFD - ERROR_INTERNET_CANNOT_CONNECT」,说明官方服务器被墙了(虽然浏览器可访问此地址)
      在这里插入图片描述
    • 解决方案:科学代理(Sock5方式有效)
    • 成功后输入命令
      !sym noisy
      .reload /f
      在这里插入图片描述

    三、加载用户层的符号文件

    • 刚开始用Windbg,看到网上有人敲命令:u ntdll!NtOpenProcess,我照敲之后提示错误「Couldn’t resolve error at ‘ntdll!NtOpenProcess’」
    • 错误原因:WinDbg没有附加任何进程时,调试的是内核,因为ntdll.dll属于应用层,而windbg在调试内核时没有加载应用层的符号表文件,所以无法反汇编此函数。
    • 解决方案:
      (1)打开一个记事本程序
      (2)kd> !process 0 0 notepad.exe // 查看进程notepad.exe信息
      (3)kd> .process /p ffffd601287a72c0 // 将调试进程切换为notepad.exe
      (4)kd> .reload // 重新加载符号(现在加载了用户层的符号)
      在这里插入图片描述

    参考资料

  • 相关阅读:
    hdu 5475(打破固定思维OR线段树)
    hdu 2521 反素数(打表)
    hdu 4540(dp)
    hdu 4535(排列组合之错排公式)
    hdu 4530(数学)
    hdu 4528(搜索好题)
    hdu 4522(图论,构图)
    kalinux 换源
    用python进行wifi密码生成
    hashcat 中文文档
  • 原文地址:https://www.cnblogs.com/lidabo/p/14380671.html
Copyright © 2011-2022 走看看