WinDbg符号表修复记录

最新推荐文章于 2022-12-26 17:04:17 发布

Mr.Rose

最新推荐文章于 2022-12-26 17:04:17 发布

阅读量988

点赞数

CC 4.0 BY-SA版权

文章标签： microsoft windows

By Rose

本文链接：https://blog.youkuaiyun.com/qq_41963135/article/details/121731675

本文详细讲述了如何修复process00和dtxxx在符号搜索过程中遇到的无效问题，通过设置symbol search path，加载pdb文件，并提供了一系列调试步骤和测试案例，确保符号表正确加载以进行有效的内核分析。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

符号表修复解决!process 0 0无效，以及dt xxx无效一类！

点击文件选择Symbol search path:
设置=SRVD:/WINDOWS/Symbolshttp://msdl.microsoft.com/download/symbols

开始KD如下：

kd> .sympath SRVD:/WINDOWS/Symbolshttp://msdl.microsoft.com/download/symbols
正常得到：
DBGHELP: Symbol Search Path: srvd:/windows/symbolshttp://msdl.microsoft.com/download/symbols
DBGHELP: Symbol Search Path: srvd:/windows/symbolshttp://msdl.microsoft.com/download/symbols
Symbol search path is: SRVD:/WINDOWS/Symbolshttp://msdl.microsoft.com/download/symbols
Expanded Symbol search path is:srvd:/windows/symbolshttp://msdl.microsoft.com/download/symbols

kd> !sym noisy
正常得到：
noisy mode - symbol prompts on

kd> !lmi nt
正常得到：
Loaded Module Info: [nt]
Module: ntkrnlmp
Base Address: fffff80325612000
Image Name: ntkrnlmp.exe
Machine Type: 34404 (X64)
Time Stamp: 4f6eba0 Tue Aug 22 08:24:00 1972
Size: ab6000
CheckSum: 9824d3
Characteristics: 22
Debug Data Dirs: Type Size VA Pointer
CODEVIEW 25, 3a5ac0, 3a18c0 RSDS - GUID: {F3A4F64B-6F63-9A05-8AD6-F33155ACA4F6}
Age: 1, Pdb: ntkrnlmp.pdb
?? 1448, 3a5ae8, 3a18e8 [Data not mapped]
?? 24, 3a6f58, 3a2d58 [Data not mapped]
Image Type: MEMORY - Image read successfully from loaded memory.
Symbol Type: EXPORT - PDB not found
Load Report: export symbols

kd> .reload /f nt
正常得到：
SYMSRV: ntkrnlmp.pdb from http://msdl.microsoft.com/download/symbols: 7719936 bytes - copied
DBGHELP: nt - private symbols
d:\windows\symbols\ntkrnlmp.pdb\F3A4F64B6F639A058AD6F33155ACA4F61\ntkrnlmp.pdb

完成进行测试：

kd> process 0 0
正常得到：
**** NT ACTIVE PROCESS DUMP ****
PROCESS ffffb70146c7b040
SessionId: none Cid: 0004 Peb: 00000000 ParentCid: 0000
DirBase: 001ad002 ObjectTable: ffff80099c604bc0 HandleCount:
Image: System

PROCESS ffffb70146ce8080
SessionId: none Cid: 0058 Peb: 00000000 ParentCid: 0004
DirBase: 0e53f002 ObjectTable: ffff80099c60bec0 HandleCount:
Image: Registry

此处省略N个PROCESS。。。。。。

修复并测试完毕。