Re: WINDBG调试没有符号文件，怎么显示函数名？

C/C++本地代码调试

WINDBG调试没有符号文件，怎么显示函数名？

---

cainiaocainiao 2010-02-20, 10:30 上午
没有符号文件，调试的程序里那些API函数，都是这种形式显示的
call image00400000+0x5522 (00405522)

或者有什么命令可以从这个地址00405522知道函数名吗。

Re: WINDBG调试没有符号文件，怎么显示函数名？

---

格蠹老雷 2010-02-20, 12:43 下午

可以使用这样的命令：

0:000> dds poi(00405798+2) l1
0051b710  7e42974e user32!GetCursorPos

命令的原理是这样的。以下面这条指令为例：

call    WINCMD32+0x1a908 (0041a908)

CALL指令调用的地址0041a908处通常是一条跳转指令:

00405798 ff2510b75100    jmp     dword ptr [WINCMD32+0x11b710 (0051b710)] ds:0023:0051b710={user32!GetCursorPos (7e42974e)}
0040579e 8bc0            mov     eax,eax

这条跳转指令的目的其实就是跳转到IAT表中对应API表项所保存的API入口。注意上面的机器码ff2510b75100，前两个字节ff25是操作码，后四个字节10b75100是操作数，其实就是间接跳转时取最终目标的地方，转换成DWORD就是0051b710。

使用!dh命令可以找到IAT表的位置：

0:000> !dh 00400000

...

  11B000 [    2A20] address [size] of Import Directory

...

也就是说IATA表的偏移是11B000，长度是2A20，上面的地址0051b710就是在这个范围内：

0:000> ?? 0x0051b710-(0x400000+0x11B000) < 0x2a20
bool true

也可以直接dds这个表，来了解导入了哪些API......

当然也可以对IAT表设断点，调用时停下来 :-)

 

Re: WINDBG调试没有符号文件，怎么显示函数名？

---

王宇 2010-02-21, 09:07 上午
学习！

Re: WINDBG调试没有符号文件，怎么显示函数名？

---

Oak 2010-02-22, 10:38 上午

学习了！

dds针对一般公共文件，例如微软提供的东东；

如果是在调试一般私有(不愿意公开的)，建议用工具，IDA，depends等都是好工具。

Re: WINDBG调试没有符号文件，怎么显示函数名？

---

cainiaocainiao 2010-02-25, 14:59 下午
就是针对MS的东西让汇编那个窗口能显示出API就很满足了啊，不知道WINDBG有没有这种插件。

Re: WINDBG调试没有符号文件，怎么显示函数名？

---

thunder 2010-02-25, 19:48 下午
很不错的东东！

Re: WINDBG调试没有符号文件，怎么显示函数名？

---

Forward 2010-12-22, 16:55 下午
如果调用的导入函数张老师这个方法行，但是如果是程序本身的函数就不行了

Re: WINDBG调试没有符号文件，怎么显示函数名？

---

yy_cn 2011-03-11, 15:22 下午
学习

Re: WINDBG调试没有符号文件，怎么显示函数名？

---

LIXUPENG 2011-05-28, 22:01 下午

学习！！

Re: WINDBG调试没有符号文件，怎么显示函数名？

---

次次11 2014-05-06, 17:54 下午
原来可以用!dh来调输入文件表啊 学习了

Re: WINDBG调试没有符号文件，怎么显示函数名？

---

qiliu3 2014-05-29, 15:17 下午

Re: WINDBG调试没有符号文件，怎么显示函数名？

---

格蠹老雷 2014-05-30, 14:49 下午
上面的Import Directory是用来描述文件的，IAT表是描述函数的，比如要使用从DllA里的FuncA，那么Import Directory里会描述DllA的模块名，已经它的IAT表的偏移