windows - ntdll 模块未在 windbg 中正确加载，但为什么？

Question

我以前使用 windbg 进行用户模式调试，但我怀疑我对我的系统做了什么，因为我不记得之前使用扩展命令 !heap 时遇到过问题。

我可以清楚地看到 ntdll 是一个加载的模块:

77760000 778e0000   ntdll      (pdb symbols)          C:\Program Files (x86)\Windows Kits\8.1\Debuggers\x86\sym\wntdll.pdb\FA9C48F9C11D4E0894B8970DECD92C972\wntdll.pdb

0:001> lmvm ntdll
start    end        module name
77760000 778e0000   ntdll      (pdb symbols)          C:\Program Files     (x86)\Windows Kits\8.1\Debuggers\x86\sym\wntdll.pdb    \FA9C48F9C11D4E0894B8970DECD92C972\wntdll.pdb
    Loaded symbol image file: C:\Windows\SysWOW64\ntdll.dll
    Image path: C:\Windows\SysWOW64\ntdll.dll
    Image name: ntdll.dll
    Timestamp:        Wed Jul 15 13:53:36 2015 (55A69E20)
    CheckSum:         00142A8B
    ImageSize:        00180000
    File version:     6.1.7601.18933
    Product version:  6.1.7601.18933
    File flags:       0 (Mask 3F)
    File OS:          40004 NT Win32
    File type:        2.0 Dll
    File date:        00000000.00000000
    Translations:     0409.04b0
    CompanyName:      Microsoft Corporation
    ProductName:      Microsoft® Windows® Operating System
    InternalName:     ntdll.dll
    OriginalFilename: ntdll.dll
    ProductVersion:   6.1.7601.18933
    FileVersion:      6.1.7601.18933 (win7sp1_gdr.150715-0600)
    FileDescription:  NT Layer DLL
    LegalCopyright:   © Microsoft Corporation. All rights reserved.

和

0:001> !chksym ntdll

C:\Windows\SysWOW64\ntdll.dll
    Timestamp: 55A69E20
  SizeOfImage: 180000
          pdb: wntdll.pdb
      pdb sig: FA9C48F9-C11D-4E08-94B8-970DECD92C97
          age: 2

Loaded pdb is C:\Program Files (x86)\Windows Kits\8.1\Debuggers\x86\sym\wntdll.pdb\FA9C48F9C11D4E0894B8970DECD92C972\wntdll.pdb

wntdll.pdb
      pdb sig: FA9C48F9-C11D-4E08-94B8-970DECD92C97
          age: 2

MATCH: wntdll.pdb and C:\Windows\SysWOW64\ntdll.dll<code>

当我尝试使用我的堆扩展时，我得到:

0:001> !heap -stat
*************************************************************************
***                                                                   ***
***                                                                   ***
***    Either you specified an unqualified symbol, or your debugger   ***
***    doesn't have full symbol information.  Unqualified symbol      ***
***    resolution is turned off by default. Please either specify a   ***
***    fully qualified symbol module!symbolname, or enable resolution ***
***    of unqualified symbols by typing ".symopt- 100". Note that   ***
***    enabling unqualified symbol resolution with network symbol     ***
***    server shares in the symbol path may cause the debugger to     ***
***    appear to hang for long periods of time when an incorrect      ***
***    symbol name is typed or the network symbol server is down.     ***
***                                                                   ***
***    For some commands to work properly, your symbol path           ***
***    must point to .pdb files that have full type information.      ***
***                                                                   ***
***    Certain .pdb files (such as the public OS symbols) do not      ***
***    contain the required information.  Contact the group that      ***
***    provided you with these symbols if you need this command to    ***
***    work.                                                          ***
***                                                                   ***
***    Type referenced: ntdll!_PEB                                    ***
***                                                                   ***

.symopt- 100 也没有帮助

如果我尝试使用关键部分扩展，我会得到类似的错误:

Bad symbols for NTDLL (error 3). Aborting.

我读过如果您在 32 位和 64 位之间不匹配或者如果您根本没有首先正确设置符号但我已经使用了 .symfix 和可以使用 .reload/f 强制我的符号重新加载，我在 x86 进程或 32 位转储上使用 x86 调试器，所以我看不到这些问题是如何发生的。

我已经重新开始并完全卸载了 windbg，并从 MSDN 重新安装了适用于 Windows 的调试工具，但仍然遇到同样的问题。我肯定遗漏了一些明显的东西吗？

Answer 1

MS 正在删除最新 Windows 7 PDB 中的所有类型信息。这会破坏 !heap。这是“Windows Internals, Sixth Edition”的合著者 Alex Ionescu 发起的关于它的推特对话:https://twitter.com/aionescu/status/634028737458114560

更新:2015 年 10 月 12 日:可能的解决方法是使用 PDB 类型盗窃 python 脚本将类型信息从一个 PDB 复制到另一个。用法是从较旧的 PDB 复制类型信息，该 PDB 具有在以后的 PDB 中删除的类型信息。此链接包含所有详细信息:http://h30499.www3.hp.com/t5/HP-Security-Research-Blog/PDB-Type-Theft/ba-p/6801065#.Vhv2gPm6fmE

更新:2015 年 10 月 22 日:在 Microsoft 补丁日 (2015-10-13) 和 KB3088195 之后，符号再次可用。但是，未提供损坏版本的符号，因此以上内容可能仍然有用。