一、符号文件的用处
- 符号文件即PBD（Program Debug DataBase）文件，他的用处是让调试器能够将地址与函数名对应，例如：WinDBG中输入命令
u NtClose就能定位到NtClose函数的地址，输入u FFFFF80435A4940就能识别出此地址是NtClose函数
- 判断是否需要下载PBD
在winDbg中尝试反汇编输入一些函数名，如u KiSystemServiceUser、u KiSystemCall64，如果提示「Couldn’t resolve error at ‘XXXXXX’」则说明调试符号没有下载完整。
二、下载符号文件（微软官方符号服务器无法访问）
- WinDbg中输入命令设置调试符号路径：
.sympath SRV*c:mySymbols*http://msdl.microsoft.com/download/symbols.reload
SRV*[符号缓存]*服务器地址
语法由SRV引导，符号缓存和服务器地址的前面各有一个星号引导，当服务器找不到调试符号时会自动在本地缓存路径下寻找调试符号，如果要调试自己写的驱动，就把本地路径写为本地pbd文件的路径。 - 看到报错「 HttpSendRequest: 800C2EFD - ERROR_INTERNET_CANNOT_CONNECT」，说明官方服务器被墙了（虽然浏览器可访问此地址）
- 解决方案：科学代理（Sock5方式有效）
- 成功后输入命令
!sym noisy.reload /f
三、加载用户层的符号文件
- 刚开始用Windbg，看到网上有人敲命令：
u ntdll!NtOpenProcess，我照敲之后提示错误「Couldn’t resolve error at ‘ntdll!NtOpenProcess’」 - 错误原因：WinDbg没有附加任何进程时，调试的是内核，因为ntdll.dll属于应用层，而windbg在调试内核时没有加载应用层的符号表文件，所以无法反汇编此函数。
- 解决方案：
（1）打开一个记事本程序
（2）kd> !process 0 0 notepad.exe // 查看进程notepad.exe信息
（3）kd> .process /p ffffd601287a72c0 // 将调试进程切换为notepad.exe
（4）kd> .reload // 重新加载符号（现在加载了用户层的符号）