WinDbg下载符号文件（内核层、用户层）

文章目录

• 一、符号文件的用处
• 二、下载符号文件（微软官方符号服务器无法访问）
• 三、加载用户层的符号文件
• 参考资料

 

一、符号文件的用处

• 符号文件即PBD（Program Debug DataBase）文件，他的用处是让调试器能够将地址与函数名对应，例如：WinDBG中输入命令u NtClose就能定位到NtClose函数的地址，输入u FFFFF80435A4940就能识别出此地址是NtClose函数
  
• 判断是否需要下载PBD
  在winDbg中尝试反汇编输入一些函数名，如u KiSystemServiceUser、u KiSystemCall64，如果提示「Couldn’t resolve error at ‘XXXXXX’」则说明调试符号没有下载完整。
  

二、下载符号文件（微软官方符号服务器无法访问）

• WinDbg中输入命令设置调试符号路径：
  .sympath SRV*c:\mySymbols*http://msdl.microsoft.com/download/symbols
.reload
  SRV*[符号缓存]*服务器地址
  语法由SRV引导，符号缓存和服务器地址的前面各有一个星号引导，当服务器找不到调试符号时会自动在本地缓存路径下寻找调试符号，如果要调试自己写的驱动，就把本地路径写为本地pbd文件的路径。
• 看到报错「 HttpSendRequest: 800C2EFD - ERROR_INTERNET_CANNOT_CONNECT」，说明官方服务器被墙了（虽然浏览器可访问此地址）
  
• 解决方案：科学代理（Sock5方式有效）
• 成功后输入命令
  !sym noisy
.reload /f
  

三、加载用户层的符号文件

• 刚开始用Windbg，看到网上有人敲命令：u ntdll!NtOpenProcess，我照敲之后提示错误「Couldn’t resolve error at ‘ntdll!NtOpenProcess’」
• 错误原因：WinDbg没有附加任何进程时，调试的是内核，因为ntdll.dll属于应用层，而windbg在调试内核时没有加载应用层的符号表文件，所以无法反汇编此函数。
• 解决方案：
  （1）打开一个记事本程序
  （2）kd> !process 0 0 notepad.exe // 查看进程notepad.exe信息
  （3）kd> .process /p ffffd601287a72c0 // 将调试进程切换为notepad.exe
  （4）kd> .reload // 重新加载符号（现在加载了用户层的符号）
  

参考资料

• Windbg 无法下载 pdb 的解决方法
• 科学下载调试符号
• Couldn’t resolve error at ‘ntdll!NtOpenProcess’