前端:(4) jQuery笔记----Windbg符号与源码 《第二篇》
符号文件是一种辅助数据,它包含了对应用程序代码的一些标注信息,这些信息在调试过程中非常有用。如果没有辅助数据,那么能获得的信息就只有应用程序的二进制文件。二进制文件很难调试,因为无法看到代码中的函数名、数据结构名等。这正是符号文件能显示的。符号文件的扩展名通常是pdb,调试器能够很好地解析这种文件格式。
编译器和链接器在创建二进制镜像文件(诸如exe、dll、sys)时,伴生的后缀名为.dbg、.sym或.pdb的包含镜像文件编译、链接过程中生成的符号信息的文件称为符号文件。具体来说,符号信息包括如下内容:
- 全局变量;
- 局部变量;
- 函数;
- 变量、结构体类型定义;
源文件路径以及每个符号对应于源文件中的行号,这是进行源码级别调试的基础。
有这么多的信息包含在符号文件中,使得符号文件通常要比二进制文件(PE格式文件)本身要大很多。只要正确设置了符号路径,使得调试器能够将调试目标、符号文件以及源码文件一一对应起来,才能够最好地发挥调试器的强大功用。
符号文件有两种类型:私有符号文件和公有符号文件。
- 私有符号文件:是大多数开发人员在日常工作中使用的符号文件,其中包含了调试会话中需要的所有符号信息。
- 公有符号文件:只是有选择地包含一些符号信息。
符号信息隶属于指定的模块,所以只有调试器需要用到某个模块时,它的符号信息才有被加载和分析的必要。
要在调试器中使用符号,我们必须首先告诉调试器这些符号文件的位置,也就是设置符号路径。符号路径可以是本地文件夹路径、可访问的UNC路径、或者是符号服务器路径。
符号服务器:在调试过程中,需要涉及成千上万个符号文件,以及同一个符号文件存在不同平台下的不同符号文件版本的时候。一一手动设置符号路径肯定是不现实的,于是引入了符号服务器的概念。符号服务器有一套命名规则,使得调试软件能够正确找到需要的符号文件。一般来说,符号服务器比较大,都是共用的,放在远程主机上。为了降低网络访问的成本,又引入了符号缓存的概念,即将从服务器上下载到的符号文件,保存在本地缓存中,以后调试器需要符号文件的时候,先从缓存中寻找,找不到的时候再到服务器上下载。
1、设置符号路径
设置符号路径的语法如下:
.sympath [+] [路径]
如要覆盖原来的路径设置,使用新路径即可:
.sympath <新路径>
要在原有路径的基础上添加一个新路径,可使用:
.sympath+ <新增路径>
如果不带参数,那么输出是当前设置的符号路径:
0:000> .sympath
Symbol search path is: <empty> //尚未设置符号路径
假如在调试时,我知道需要的符号文件位于一下文件夹"D:\MyPdb“。
0:000> .sympath D:\MyPdb //覆盖原有符号路径
Symbol search path is: D:\MyPdb
Expanded Symbol search path is: d:\mypdb
此时调试器将记录上面新的符号路径,但并不会从这个路径中加载任何符号,要指示调试器加载符号,可以使用元命令reload。这个命令能枚举出进程地址空间中所有已加载的模块,并且尝试找出与各个模块相关的符号文件。
0:000> .reload
Reloading current modules
.....
如果调试器在指定目录无法找到文件,那么它会输出错误提示:
*** ERROR:Symbol file could not be found. Defaulted to export symbols for xxx.dll
当没有设置本地缓存路径时,那么调试器将使用调试软件的安装路径下的sym文件夹。
要特别注意的是,使用.sympath改变或新增符号路径后,符号文件并不会自动更新,应再执行.reload命令以更新之。
延迟加载使得模块的符号表,只在第一次真正使用的时候才被加载。这加快了程序启动,不用在一开始耗费大量时间加载全部的符号文件。
使用.symopt +4和.symopt -4 来开启或关闭延迟加载设置。
在已经启动了延迟加载的情况下,如想临时改变策略,立刻将指定模块的符号加载到调试器中,可以使用ld或者.reload /f命令。
2、符号服务器与符号缓存
设置符号服务器的基本语法是:
SRV*[符号缓存]*服务器地址
语法有SRV引导,符号缓存和服务器地址的前面各有一个星号引导。
此外,我们总是应该把微软的公用符号库加入到我们的符号路径中:
.sympath+ srv*<缓存地址>*http://msdl.microsoft.com/download/symbols
这是一台微软对外公开的服务器,使用http地址访问,不是所有人都能牢记这个网址,所以最好的办法就是使用.symfix命令(自动记忆了上面那个微软符号服务器地址),语法如下:
.symfix [+] [符号缓存地址]
下面的命令等价于上面的.sympath命令,而不用输入长长的http地址。
0:010> .symfix c:\windows\symbols
0:010> .sympath
Symbol search path is: srv*
Expanded Symbol search path is: SRV*c:\windows\symbols*http://msdl.microsoft.com/download/symbols
以上设置后,当需要用到符号,Windbg将自动到服务器上去下载,然后保存在c:\windows\symbols。
当然,我们也可以在计算机上面设置,设置方式是:
我的电脑=》高级系统设置=》高级Tab,点击环境变量,新建一个用户变量如下:
- 变量名:_NT_SYMBOL_PATH
- 变量值:SRV*D:\PDB*http://msdl.microsoft.com/download/symbols/
3、符号选项
命令格式如下:
- 显示当前设置:.symopt
- 增加选项:.symopt+ Flags
- 删除选项:.symopt- Flags
第一个命令没有任何参数,显示当前设置。“+”代表添加一个选项,“-”代表去除一个选项。
0:000> .symopt
Symbol options are 0x30237:
0x00000001 - SYMOPT_CASE_INSENSITIVE
0x00000002 - SYMOPT_UNDNAME
0x00000004 - SYMOPT_DEFERRED_LOADS
0x00000010 - SYMOPT_LOAD_LINES
0x00000020 - SYMOPT_OMAP_FIND_NEAREST
0x00000200 - SYMOPT_FAIL_CRITICAL_ERRORS
0x00010000 - SYMOPT_AUTO_PUBLICS
0x00020000 - SYMOPT_NO_IMAGE_SEARCH
可用的符号选项请见下表:
值 |
可读名称 |
描述 |
0×1 |
SYMOPT_CASE_INSENSITIVE |
符号名称不区分大小写 |
0×2 |
SYMOPT_UNDNAME |
符号名称未修饰 |
0×4 |
SYMOPT_DEFERRED_LOADS |
延迟加载 |
0×8 |
SYMOPT_NO_CPP |
关闭C++转换,C++中的::符号将以__显示 |
0×10 |
SYMOPT_LOAD_LINES |
从源文件中加载行号 |
0×20 |
SYMOPT_OMAP_FIND_ NEAREST |
如果由于编译器优化导致找不到对应的符号,就以最近的一个符号代替之 |
0×40 |
SYMOPT_LOAD_ANYTHING |
使得符号匹配的时候,匹配原则较松散,不那么严格。 |
0×80 |
SYMOPT_IGNORE_CVREC |
忽略镜像文件头中的CV记录 |
0×100 |
SYMOPT_NO_UNQUALIFIED_ LOADS |
只在已加载模块中搜索符号,如果搜索符号失败,不会自动加载新模块。 |
0×200 |
SYMOPT_FAIL_CRITICAL_ ERRORS |
不显示文件访问错误对话框。 |
0×400 |
SYMOPT_EXACT_SYMBOLS |
进行最严格的符号文件检查,只要有微小的差异,符号文件都不会被加载。 |
0×800 |
SYMOPT_ALLOW_ABSOLUTE_ SYMBOLS |
允许从内存的一个绝对地址处读取符号信息。 |
0×1000 |
SYMOPT_IGNORE_NT_ SYMPATH |
忽视在环境变量中设置的符号路径,也忽视被调试进程的执行路径。也就是说,当搜索符号文件的时候,不会从这些路径中搜索。 |
0×2000 |
SYMOPT_INCLUDE_32BIT_MODULES |
让运行在安腾系统上的调试器,也枚举32位模块。 |
0×4000 |
SYMOPT_PUBLICS_ONLY |
仅搜索符号文件的公共(PUBLIC)符号表,忽略私有符号表。 |
0×8000 |
SYMOPT_NO_PUBLICS |
不搜索符号文件的公共(PUBLIC)符号表 |
0×10000 |
SYMOPT_AUTO_PUBLICS |
先搜索pdb文件的私有符号表,如果在其中找到对应的符号,就不再搜索公共(PUBLIC)符号表,这可以加快搜索速度。 |
0×20000 |
SYMOPT_NO_IMAGE_SEARCH |
不搜索镜像拷贝 |
0×40000 |
SYMOPT_SECURE |
安全模式,让调试器尽量不影响到主机。 |
0×80000 |
SYMOPT_NO_PROMPTS |
不显示符号代理服务器的认证对话框,将导致某些时候无法访问符号服务器 |
0×80000000 |
SYMOPT_DEBUG |
显示符号搜索的详细过程和信息 |
4、符号加载
1、立刻加载
命令格式如下:
ld 模块名 [/f 符号文件名]
加载指定模块的符号。调试器默认采用延迟模式加载符号。ld使得延迟模式被打破,让指定模块的符号文件立刻加载到调试器中。此指令可为模块的符号文件设置自定义的匹配名称。
ld 123 /f abc
这样一来,abc.pdb将成为123.exe的符号文件。正常情况下,这是不可能的,只能是abc.pdb对应abc.exe。
2、重新加载
如果对自己正在使用的符号文件感到疑惑,比如源代码和行号明显不匹配,最好就是重新加载一下符号文件。此命令语法如下:
- .reload /f /v [模块名]
.reload命令的作用是删除指定或所有已加载的符号文件,默认情况下,调试器不会立刻根据符号路径重新搜索并加载新的符号文件,而是推迟到调试器下一次使用此文件时。
使用/f参数将破事调试器立刻搜索并重新加载新的符号文件。
其它参数解释如下:
- /v:将搜索过程中的详细信息都显示出来。
- /i:不检查pdb文件的版本信息;
- /l:只显示模块信息,内核模式下,和“lm n t”命令类似,但显示内容比后者更多,因为包含了用户模块信息;
- /n:仅重载内核符号,不重载用户符号;
- /o:强制覆盖符号库中的符号文件,即使版本相同;
- /d:用户层模式下使用Windbg时的默认选项,重载调试器模块列表中的所有模块;
- /s:内核模式下使用Windbg时的默认选项,重载系统模块列表中的所有模块,另外,如果调试器在用户模式下运行,要加载内核模块,也必须使用/s选项,否则调试器将只会在调试器模块列表中搜索而导致找不到内核模块;
- /u:卸载指定模块。如发现当前符号版本不对,使用/u开关先卸载之再重新加载。
3、符号验证
符号文件出现不匹配的情况,这是有可能的,程序员在后期测试的时候可能会将工程多次编译,为了维护多个版本而使得自己也被混淆。可以使用下面的命令验证一个模块的符号文件:
- !chksym <模块名> [符号名]
加载选项:!sym
有两类符号加载选项。第一类是Noisy/Quiet,Noisy选项将打印符号加载的详细信息,Quiet选项则忽略这些信息。第二类是Prompts/Prompts off,即是否允许执行提示(Prompts)对话框。
一般都是在调用.reload命令之前,执行加载选项命令。
所谓Noisy是吵闹的意思,调试器在搜索、加载符号的时候,会显示更多与搜索有关的信息。在安静模式下,则不会显示这些信息。不管吵闹与否,都不会影响到最终的搜索、加载结果。 当从网络上下载符号文件的时候,可能会碰到网络服务器要求客户进行安全认证的情况,如果开启Prompts选项,则弹出认证对话框,让用户输入认证信息;否则,不弹出对话框,并且不会下载符号文件。
不加任何参数的情况下,显示当前加载选项设置,下面的清单表明当前的设置为Quite及Prompts模式
0:000> .symopt
Symbol options are 0x30237:
0x00000001 - SYMOPT_CASE_INSENSITIVE
0x00000002 - SYMOPT_UNDNAME
0x00000004 - SYMOPT_DEFERRED_LOADS
0x00000010 - SYMOPT_LOAD_LINES
0x00000020 - SYMOPT_OMAP_FIND_NEAREST
0x00000200 - SYMOPT_FAIL_CRITICAL_ERRORS
0x00010000 - SYMOPT_AUTO_PUBLICS
0x00020000 - SYMOPT_NO_IMAGE_SEARCH
0:000> !sym
!sym <noisy/quiet - prompts/prompts off> - quiet mode - symbol prompts on
5、符号搜索
符号搜索包括全局搜索与就近搜索两种。
1、全局搜索
命令“x”被用来进行符号的全局搜索,你可以把它直接就理解为search。格式如下:
- x [参数] [模块!符号]
如果什么参数都没有的话,它将列出当前调试环境下的所有局部变量,前提是要在有局部变量存在的情况下,显示局部变量的另一个命令是dv,后文也会讲到。
- x kernel32!a*
上面命令搜索并打印出kernel32模块中所有a开头的符号。x命令支持DML,使用/D选项即以DML格式显示。
0:000> !sym
!sym <noisy/quiet - prompts/prompts off> - quiet mode - symbol prompts on
0:000> x kernel32!a*
769836a8 kernel32!AllocContext = <no type information>
769a4286 kernel32!AdjustHijriYears = <no type information>
76986698 kernel32!AddLocalAlternateComputerNameW = <no type information>
76997fab kernel32!AllocateUserPhysicalPages = <no type information>... ... ...太长,省略一部分
如果你不知道ntcreatefile这个函数是在哪个模块中定义的,可以试着使用下面的命令:
- x *!*NtCreateFile* (注:亦请参照!dlls –c命令)
同名函数在多个系统模块中并定义,这可能出乎你的意料,但却给你带来真正的知识。
此外,x命令有多个可选参数。建议总是带上/t和/v,可显示更多符号、类型信息。
- /f:将只显示函数符号;并且会显示函数的详细定义。
- /d:显示更多的变量类型相关信息。
2、就近搜索
如果知道了符号的大概地址,但不能确定确切的符号名称,该怎么处理呢?就近查找命令“ln”能发挥作用,ln是List Nearest的缩写。它的作用是:(根据给定的地址)列出附近一定范围内的所有符号。
6、源码命令
如果含有源码信息,可使得调试过程能够以源码模式逐行进行。和源码相关的命令包括下面几个:
源码路径:
和符号路径类似,要设置源码路径,使用如下语法格式:
- .srcpath[+] [路径1;路径2]
不含任何参数的情况下,显示当前设置的源码路径。
下面命令将覆盖原设置,设置新的源码搜索路径
- .srcpath<路径信息>
使用"+"可以将新的路径添加到原设置中,而不会把原设置覆盖掉:
- .srcpath+ <路径信息>
7、源码选项
这里列出三个源码选项。
1、noisy
- 状态:.srcnoisy
- 开启:.srcnoisy 1
- 关闭:.srcnoisy 0
开始“吵闹的源码”选项后,在源码加载、卸载、甚至单步的时候,都会显示丰富的源码信息。
2、lines
行号选项,即在符号文件加载过程中,是否将行号也一并加载进来。因为Windbg支持源码级调试,所以它在Windbg中是默认开启(Enable)的。
- .lines [-d|-e|-t]
参数d是disable的意思;e是enable的意思;t表示切换的意思,即自动在disable和enable两者之间切换。
3、代码行选项
包括行号和内容,语法如下:
- 打开:l+ [选项]
- 关闭:l- [选项]
命令|是line的缩写,和上面的.lines命令不同的是,.lines是加载时选项,l是调试时选项。建议使用"l+*"指令,打开所有的行选项,效果会很不错。这样在单步调试的时候,每一步的代码和行号都会显示出来。显得很醒目!
值得注意的是,进入源码模式和进入汇编模式的命令分别为:
- 源码模式:l+t
- 汇编模式:l-t
运行这两个命令和在Windbg的Debug菜单下点击source mode选项其效果是一样的。