Windbg符号与源码 《第二篇》

时间：2023-03-08 16:51:43
Windbg符号与源码 《第二篇》

　　符号文件是一种辅助数据，它包含了对应用程序代码的一些标注信息，这些信息在调试过程中非常有用。如果没有辅助数据，那么能获得的信息就只有应用程序的二进制文件。二进制文件很难调试，因为无法看到代码中的函数名、数据结构名等。这正是符号文件能显示的。符号文件的扩展名通常是pdb，调试器能够很好地解析这种文件格式。

　　编译器和链接器在创建二进制镜像文件（诸如exe、dll、sys）时，伴生的后缀名为.dbg、.sym或.pdb的包含镜像文件编译、链接过程中生成的符号信息的文件称为符号文件。具体来说，符号信息包括如下内容：

  • 全局变量；
  • 局部变量；
  • 函数；
  • 变量、结构体类型定义；

　　源文件路径以及每个符号对应于源文件中的行号，这是进行源码级别调试的基础。

　　有这么多的信息包含在符号文件中，使得符号文件通常要比二进制文件(PE格式文件)本身要大很多。只要正确设置了符号路径，使得调试器能够将调试目标、符号文件以及源码文件一一对应起来，才能够最好地发挥调试器的强大功用。

　　Windbg符号与源码 《第二篇》

　　符号文件有两种类型：私有符号文件和公有符号文件。

  • 私有符号文件：是大多数开发人员在日常工作中使用的符号文件，其中包含了调试会话中需要的所有符号信息。
  • 公有符号文件：只是有选择地包含一些符号信息。

　　符号信息隶属于指定的模块，所以只有调试器需要用到某个模块时，它的符号信息才有被加载和分析的必要。

　　要在调试器中使用符号，我们必须首先告诉调试器这些符号文件的位置，也就是设置符号路径。符号路径可以是本地文件夹路径、可访问的UNC路径、或者是符号服务器路径。

　　符号服务器：在调试过程中，需要涉及成千上万个符号文件，以及同一个符号文件存在不同平台下的不同符号文件版本的时候。一一手动设置符号路径肯定是不现实的，于是引入了符号服务器的概念。符号服务器有一套命名规则，使得调试软件能够正确找到需要的符号文件。一般来说，符号服务器比较大，都是共用的，放在远程主机上。为了降低网络访问的成本，又引入了符号缓存的概念，即将从服务器上下载到的符号文件，保存在本地缓存中，以后调试器需要符号文件的时候，先从缓存中寻找，找不到的时候再到服务器上下载。

　　1、设置符号路径

　　设置符号路径的语法如下：

.sympath [+] [路径]

　　如要覆盖原来的路径设置，使用新路径即可：

.sympath <新路径>

　　要在原有路径的基础上添加一个新路径，可使用：

.sympath+ <新增路径>

　　如果不带参数，那么输出是当前设置的符号路径：

0:000> .sympath

Symbol search path is: <empty>　　//尚未设置符号路径

　　假如在调试时，我知道需要的符号文件位于一下文件夹"D:\MyPdb“。

0:000> .sympath D:\MyPdb　　//覆盖原有符号路径

Symbol search path is: D:\MyPdb

Expanded Symbol search path is: d:\mypdb

　　此时调试器将记录上面新的符号路径，但并不会从这个路径中加载任何符号，要指示调试器加载符号，可以使用元命令reload。这个命令能枚举出进程地址空间中所有已加载的模块，并且尝试找出与各个模块相关的符号文件。

:> .reload

Reloading current modules

.....

　　如果调试器在指定目录无法找到文件，那么它会输出错误提示：

*** ERROR:Symbol file could not be found. Defaulted to export symbols for xxx.dll

　　当没有设置本地缓存路径时，那么调试器将使用调试软件的安装路径下的sym文件夹。

　　要特别注意的是，使用.sympath改变或新增符号路径后，符号文件并不会自动更新，应再执行.reload命令以更新之。

　　延迟加载使得模块的符号表，只在第一次真正使用的时候才被加载。这加快了程序启动，不用在一开始耗费大量时间加载全部的符号文件。

　　使用.symopt +4和.symopt -4 来开启或关闭延迟加载设置。

　　在已经启动了延迟加载的情况下，如想临时改变策略，立刻将指定模块的符号加载到调试器中，可以使用ld或者.reload /f命令。

　　2、符号服务器与符号缓存

　　设置符号服务器的基本语法是：

SRV*[符号缓存]*服务器地址

　　语法有SRV引导，符号缓存和服务器地址的前面各有一个星号引导。

　　此外，我们总是应该把微软的公用符号库加入到我们的符号路径中：

.sympath+ srv*<缓存地址>*http://msdl.microsoft.com/download/symbols

　　这是一台微软对外公开的服务器，使用http地址访问，不是所有人都能牢记这个网址，所以最好的办法就是使用.symfix命令(自动记忆了上面那个微软符号服务器地址)，语法如下：

.symfix [+] [符号缓存地址]

　　下面的命令等价于上面的.sympath命令，而不用输入长长的http地址。

0:010> .symfix c:\windows\symbols

0:010> .sympath

Symbol search path is: srv*

Expanded Symbol search path is: SRV*c:\windows\symbols*http://msdl.microsoft.com/download/symbols

　　以上设置后，当需要用到符号，Windbg将自动到服务器上去下载，然后保存在c:\windows\symbols。

　　当然，我们也可以在计算机上面设置，设置方式是：

　　我的电脑=》高级系统设置=》高级Tab，点击环境变量，新建一个用户变量如下：

  • 变量名：_NT_SYMBOL_PATH
  • 变量值：SRV*D:\PDB*http://msdl.microsoft.com/download/symbols/

　　Windbg符号与源码 《第二篇》

　　3、符号选项

　　命令格式如下：

  • 显示当前设置：.symopt
  • 增加选项：.symopt+ Flags
  • 删除选项：.symopt- Flags

　　第一个命令没有任何参数，显示当前设置。“+”代表添加一个选项，“-”代表去除一个选项。

0:000> .symopt

Symbol options are 0x30237:

  0x00000001 - SYMOPT_CASE_INSENSITIVE

  0x00000002 - SYMOPT_UNDNAME

  0x00000004 - SYMOPT_DEFERRED_LOADS

  0x00000010 - SYMOPT_LOAD_LINES

  0x00000020 - SYMOPT_OMAP_FIND_NEAREST

  0x00000200 - SYMOPT_FAIL_CRITICAL_ERRORS

  0x00010000 - SYMOPT_AUTO_PUBLICS

  0x00020000 - SYMOPT_NO_IMAGE_SEARCH

　　可用的符号选项请见下表：

值

可读名称

描述

0×1

SYMOPT_CASE_INSENSITIVE

符号名称不区分大小写

0×2

SYMOPT_UNDNAME

符号名称未修饰

0×4

SYMOPT_DEFERRED_LOADS

延迟加载

0×8

SYMOPT_NO_CPP

关闭C++转换，C++中的::符号将以__显示

0×10

SYMOPT_LOAD_LINES

从源文件中加载行号

0×20

SYMOPT_OMAP_FIND_

NEAREST

如果由于编译器优化导致找不到对应的符号，就以最近的一个符号代替之

0×40

SYMOPT_LOAD_ANYTHING

使得符号匹配的时候，匹配原则较松散，不那么严格。

0×80

SYMOPT_IGNORE_CVREC

忽略镜像文件头中的CV记录

0×100

SYMOPT_NO_UNQUALIFIED_

LOADS

只在已加载模块中搜索符号，如果搜索符号失败，不会自动加载新模块。

0×200

SYMOPT_FAIL_CRITICAL_

ERRORS

不显示文件访问错误对话框。

0×400

SYMOPT_EXACT_SYMBOLS

进行最严格的符号文件检查，只要有微小的差异，符号文件都不会被加载。

0×800

SYMOPT_ALLOW_ABSOLUTE_

SYMBOLS

允许从内存的一个绝对地址处读取符号信息。

0×1000

SYMOPT_IGNORE_NT_

SYMPATH

忽视在环境变量中设置的符号路径，也忽视被调试进程的执行路径。也就是说，当搜索符号文件的时候，不会从这些路径中搜索。

0×2000

SYMOPT_INCLUDE_32BIT_MODULES

让运行在安腾系统上的调试器，也枚举32位模块。

0×4000

SYMOPT_PUBLICS_ONLY

仅搜索符号文件的公共（PUBLIC）符号表，忽略私有符号表。

0×8000

SYMOPT_NO_PUBLICS

不搜索符号文件的公共（PUBLIC）符号表

0×10000

SYMOPT_AUTO_PUBLICS

先搜索pdb文件的私有符号表，如果在其中找到对应的符号，就不再搜索公共（PUBLIC）符号表，这可以加快搜索速度。

0×20000

SYMOPT_NO_IMAGE_SEARCH

不搜索镜像拷贝

0×40000

SYMOPT_SECURE

安全模式，让调试器尽量不影响到主机。

0×80000

SYMOPT_NO_PROMPTS

不显示符号代理服务器的认证对话框，将导致某些时候无法访问符号服务器

0×80000000

SYMOPT_DEBUG

显示符号搜索的详细过程和信息

　　4、符号加载

　　1、立刻加载

　　命令格式如下：

ld 模块名 [/f 符号文件名]

　　加载指定模块的符号。调试器默认采用延迟模式加载符号。ld使得延迟模式被打破，让指定模块的符号文件立刻加载到调试器中。此指令可为模块的符号文件设置自定义的匹配名称。

ld 123 /f abc

　　这样一来，abc.pdb将成为123.exe的符号文件。正常情况下，这是不可能的，只能是abc.pdb对应abc.exe。

　　2、重新加载

　　如果对自己正在使用的符号文件感到疑惑，比如源代码和行号明显不匹配，最好就是重新加载一下符号文件。此命令语法如下：

  • .reload /f /v [模块名]

　　.reload命令的作用是删除指定或所有已加载的符号文件，默认情况下，调试器不会立刻根据符号路径重新搜索并加载新的符号文件，而是推迟到调试器下一次使用此文件时。

　　使用/f参数将破事调试器立刻搜索并重新加载新的符号文件。

　　其它参数解释如下：

  • /v：将搜索过程中的详细信息都显示出来。
  • /i：不检查pdb文件的版本信息；
  • /l：只显示模块信息，内核模式下，和“lm n t”命令类似，但显示内容比后者更多，因为包含了用户模块信息；
  • /n：仅重载内核符号，不重载用户符号；
  • /o：强制覆盖符号库中的符号文件，即使版本相同；
  • /d：用户层模式下使用Windbg时的默认选项，重载调试器模块列表中的所有模块；
  • /s：内核模式下使用Windbg时的默认选项，重载系统模块列表中的所有模块，另外，如果调试器在用户模式下运行，要加载内核模块，也必须使用/s选项，否则调试器将只会在调试器模块列表中搜索而导致找不到内核模块；
  • /u：卸载指定模块。如发现当前符号版本不对，使用/u开关先卸载之再重新加载。

　　3、符号验证

　　符号文件出现不匹配的情况，这是有可能的，程序员在后期测试的时候可能会将工程多次编译，为了维护多个版本而使得自己也被混淆。可以使用下面的命令验证一个模块的符号文件：

  • !chksym <模块名> [符号名]

　　加载选项：!sym

　　有两类符号加载选项。第一类是Noisy/Quiet，Noisy选项将打印符号加载的详细信息，Quiet选项则忽略这些信息。第二类是Prompts/Prompts off，即是否允许执行提示(Prompts)对话框。

　　一般都是在调用.reload命令之前，执行加载选项命令。

　　所谓Noisy是吵闹的意思，调试器在搜索、加载符号的时候，会显示更多与搜索有关的信息。在安静模式下，则不会显示这些信息。不管吵闹与否，都不会影响到最终的搜索、加载结果。
当从网络上下载符号文件的时候，可能会碰到网络服务器要求客户进行安全认证的情况，如果开启Prompts选项，则弹出认证对话框，让用户输入认证信息；否则，不弹出对话框，并且不会下载符号文件。

　　不加任何参数的情况下，显示当前加载选项设置，下面的清单表明当前的设置为Quite及Prompts模式

:> .symopt

Symbol options are 0x30237:

  0x00000001 - SYMOPT_CASE_INSENSITIVE

  0x00000002 - SYMOPT_UNDNAME

  0x00000004 - SYMOPT_DEFERRED_LOADS

  0x00000010 - SYMOPT_LOAD_LINES

  0x00000020 - SYMOPT_OMAP_FIND_NEAREST

  0x00000200 - SYMOPT_FAIL_CRITICAL_ERRORS

  0x00010000 - SYMOPT_AUTO_PUBLICS

  0x00020000 - SYMOPT_NO_IMAGE_SEARCH

:> !sym

!sym <noisy/quiet - prompts/prompts off> - quiet mode - symbol prompts on

　　5、符号搜索

　　符号搜索包括全局搜索与就近搜索两种。

　　1、全局搜索

　　命令“x”被用来进行符号的全局搜索，你可以把它直接就理解为search。格式如下：

  • x [参数] [模块!符号]

　　如果什么参数都没有的话，它将列出当前调试环境下的所有局部变量，前提是要在有局部变量存在的情况下，显示局部变量的另一个命令是dv，后文也会讲到。

  • x kernel32!a*

　　上面命令搜索并打印出kernel32模块中所有a开头的符号。x命令支持DML，使用/D选项即以DML格式显示。

:> !sym

!sym <noisy/quiet - prompts/prompts off> - quiet mode - symbol prompts on

:> x  kernel32!a*

769836a8 kernel32!AllocContext = <no type information>

769a4286 kernel32!AdjustHijriYears = <no type information>

 kernel32!AddLocalAlternateComputerNameW = <no type information>

76997fab kernel32!AllocateUserPhysicalPages = <no type information>... ... ...太长，省略一部分

　　如果你不知道ntcreatefile这个函数是在哪个模块中定义的，可以试着使用下面的命令：

  • x  *!*NtCreateFile* （注：亦请参照!dlls –c命令）

　　同名函数在多个系统模块中并定义，这可能出乎你的意料，但却给你带来真正的知识。

　　此外，x命令有多个可选参数。建议总是带上/t和/v，可显示更多符号、类型信息。

  • /f：将只显示函数符号；并且会显示函数的详细定义。
  • /d：显示更多的变量类型相关信息。

　　2、就近搜索

　　如果知道了符号的大概地址，但不能确定确切的符号名称，该怎么处理呢？就近查找命令“ln”能发挥作用，ln是List Nearest的缩写。它的作用是：（根据给定的地址）列出附近一定范围内的所有符号。

　　6、源码命令

　　如果含有源码信息，可使得调试过程能够以源码模式逐行进行。和源码相关的命令包括下面几个：

　　源码路径：

　　和符号路径类似，要设置源码路径，使用如下语法格式：

  • .srcpath[+] [路径1;路径2]

　　不含任何参数的情况下，显示当前设置的源码路径。

　　下面命令将覆盖原设置，设置新的源码搜索路径

  • .srcpath<路径信息>

　　使用"+"可以将新的路径添加到原设置中，而不会把原设置覆盖掉：

  • .srcpath+ <路径信息>

　　7、源码选项

　　这里列出三个源码选项。

　　1、noisy

  • 状态：.srcnoisy
  • 开启：.srcnoisy 1
  • 关闭：.srcnoisy 0

　　开始“吵闹的源码”选项后，在源码加载、卸载、甚至单步的时候，都会显示丰富的源码信息。

　　2、lines

　　行号选项，即在符号文件加载过程中，是否将行号也一并加载进来。因为Windbg支持源码级调试，所以它在Windbg中是默认开启(Enable)的。

  • .lines [-d|-e|-t]

　　参数d是disable的意思；e是enable的意思；t表示切换的意思，即自动在disable和enable两者之间切换。

　　3、代码行选项

　　包括行号和内容，语法如下：

  • 打开：l+ [选项]
  • 关闭：l- [选项]

　　命令|是line的缩写，和上面的.lines命令不同的是，.lines是加载时选项，l是调试时选项。建议使用"l+*"指令，打开所有的行选项，效果会很不错。这样在单步调试的时候，每一步的代码和行号都会显示出来。显得很醒目！

　　值得注意的是，进入源码模式和进入汇编模式的命令分别为：

  • 源码模式：l+t
  • 汇编模式：l-t

　　运行这两个命令和在Windbg的Debug菜单下点击source mode选项其效果是一样的。