使用 SymChk.exe下载离线符号

我们在工作中会经常遇到离线环境,这时候就需要准备好离线符号,我们使用安装windbg时候自带的工具SymChk.exe
微软的官方说明在下面

https://docs.microsoft.com/en-us/windows-hardware/drivers/debugger/using-symchk

使用起来也很简单,下面是一个使用示例:

使用 SymChk.exe 实用程序下载 Windows\System32 文件夹中所有组件的符号文件,请使用以下命令行命令:
symchk /r c:\windows\system32 /s SRVc:\symbols*http://msdl.microsoft.com/download/symbols
在此示例中:
“/r c:\windows\system32”查找 System32 文件夹和所有子文件夹中的所有符号文件。
“/s SRV
c:*http://msdl.microsoft.com/download/symbols”指定用于符号解析的符号路径。在此例中,“c:\symbols”是将在其中从符号服务器复制符号的本地文件夹。

如果你的机器已经处于离线状态还可以使用SymChk.exe生成一个所需要符号的清单文件,然后将这个文件移动到可以联网的环境进行下载
这里有微软的官方示例,我就不再重复贴出来了

https://docs.microsoft.com/en-us/windows-hardware/drivers/debugger/using-a-manifest-file-with-symchk

还有下载前可以先设置符号的环境变量_NT_SYMBOL_PATH,方便调试器找到符号
下面是微软的官方说明,很详细了

https://docs.microsoft.com/zh-cn/windows-hardware/drivers/debugger/symbol-path

用这个工具的坏处就是要下很久,所以需要一两天的时间来准备好下符号。

你可能感兴趣的:(漏洞样本分析)