Windbg 如何确定要为转储文件下载哪些操作系统符号

Question

当我进行转储文件分析时，我将符号路径设置为指向 Microsoft 符号服务器。 Windbg 如何知道转储文件是在哪个操作系统下生成的以及如何为该操作系统下载正确的符号？

Answer 1

为了将符号与二进制相匹配，WinDbg 会查看名为“调试目录”的内容。调试目录是 PE 模块中的部分（这是 Windows 用于所有类型可执行文件的文件格式）。调试目录仅包含调试信息类型的链接。如果您在 cmd 窗口中键入命令 link /dump /headers，它将打印出如下内容：

...
Debug Directories

    Time Type       Size      RVA  Pointer
-------- ------ -------- -------- --------
4CC78FB1 cv           22 00102588   101988    Format: RSDS, {30976E0B-FBF7-45EF-8608-99932F2B791F}, 2, ntdll.pdb
4CC78FB1 (   A)        4 00102584   101984    BB03197E

...

This is output for ntdll.dll。您可以看到 ntdll.pdb 中包含 CV（对于 CodeView）调试信息，并且该 PDB 的 GUID 必须与链接中的 GUID 匹配。该 GUID 是在构建时为每个模块随机生成的。

WinDbg 中的命令 !lmi 也会以不同的格式转储此信息。

从符号服务器加载符号时，WinDbg 会向符号服务器发送请求以获取具有匹配 GUID 的名为“ntdll.pdb”的文件。