WinDbg下载符号文件

文章目录

  • 一、符号文件的用处
  • 二、下载符号文件(微软官方符号服务器无法访问)
  • 三、加载用户层的符号文件
  • 参考资料

一、符号文件的用处

  • 符号文件即PBD(Program Debug DataBase)文件,他的用处是让调试器能够将地址与函数名对应,例如:WinDBG中输入命令u NtClose就能定位到NtClose函数的地址,输入u FFFFF80435A4940就能识别出此地址是NtClose函数
    WinDbg下载符号文件_第1张图片
  • 判断是否需要下载PBD
    在winDbg中尝试反汇编输入一些函数名,如u KiSystemServiceUseru KiSystemCall64,如果提示「Couldn’t resolve error at ‘XXXXXX’」则说明调试符号没有下载完整。
    WinDbg下载符号文件_第2张图片

二、下载符号文件(微软官方符号服务器无法访问)

  • WinDbg中输入命令设置调试符号路径:
    .sympath SRV*c:\mySymbols*http://msdl.microsoft.com/download/symbols
    .reload
    SRV*[符号缓存]*服务器地址
    语法由SRV引导,符号缓存和服务器地址的前面各有一个星号引导,当服务器找不到调试符号时会自动在本地缓存路径下寻找调试符号,如果要调试自己写的驱动,就把本地路径写为本地pbd文件的路径。
  • 看到报错「 HttpSendRequest: 800C2EFD - ERROR_INTERNET_CANNOT_CONNECT」,说明官方服务器被墙了(虽然浏览器可访问此地址)
    WinDbg下载符号文件_第3张图片
  • 解决方案:科学代理(Sock5方式有效)
  • 成功后测试:
    WinDbg下载符号文件_第4张图片

三、加载用户层的符号文件

  • 刚开始用Windbg,看到网上有人敲命令:u ntdll!NtOpenProcess,我照敲之后提示错误「Couldn’t resolve error at ‘ntdll!NtOpenProcess’」
  • 错误原因:WinDbg没有附加任何进程时,调试的是内核,因为ntdll.dll属于应用层,而windbg在调试内核时没有加载应用层的符号表文件,所以无法反汇编此函数。
  • 解决方案:
    (1)打开一个记事本程序
    (2)kd> !process 0 0 notepad.exe // 查看进程notepad.exe信息
    (3)kd> .process /p ffffd601287a72c0 // 将调试进程切换为notepad.exe
    (4)kd> .reload // 重新加载符号(现在加载了用户层的符号)
    WinDbg下载符号文件_第5张图片

参考资料

  • Windbg 无法下载 pdb 的解决方法
  • 科学下载调试符号
  • Couldn’t resolve error at ‘ntdll!NtOpenProcess’
                                

你可能感兴趣的:(windows驱动学习)