hash - Microsoft 符号服务器/本地缓存哈希算法

Question

我想弄清楚 Microsoft Symbol Local Cache 目录使用了什么散列算法。

例如，本地缓存可以如下所示

L:\符号
\browseui.dll
\44FBC679fe000
浏览器.dll
\browseui.pdb
\44F402F62
浏览器界面
\资源管理器.exe
\3EBF1F14f7000
资源管理器
\资源管理器.pdb
\3EBF1F141
资源管理器
\msvcr71.pdb
\60D915C6AB6A4F3586E9096E2F8856482
msvcr71.pdb

文件与其调试数据库之间似乎存在某种对应关系。除此之外，我无法弄清楚这些(大概)十六进制字符串文件夹的名称是如何生成的。

有的是9位数，有的是13位数，有的是33位数。它看起来像一个实际的实时文件(由于某种原因存储在符号缓存中)具有 13 位哈希，而其(几乎相似的)调试数据库获得 9 位哈希。一些调试数据库获得 13 位哈希值；尽管它们没有相应的实时文件，但无法弄清楚是什么让这些文件如此特别。

我尝试过使用我所知道的各种哈希算法(其中 39 个)对文件进行哈希处理，但没有任何匹配(直接、反向、交替字节序等)

有什么想法吗？

更新
我想我终于找到了。来自 Symbol Storage Format :

SymStore uses the file system itself as a database. It creates a large tree of directories, with directory names based on such things as the symbol file time stamps, signatures, age, and other data.

编辑
当当，不幸的是它只提到目录名称是从各个方面派生的(我猜不是一个哈希值)，但没有说明具体是如何派生的。搜索继续...... :-(

Answer 1

This page有关于计算符号文件以及可执行文件/DLL 的 ID 的信息。

基本上，对于可执行文件和 DLL，您从 Griff 链接到的页面中列出的 PE header 中提取时间戳和文件大小。但是，对于 PDB 文件，您将需要来自 Windows 调试工具的 DBH 命令。只需将 PDB 文件加载到 DBH 并使用 INFO 命令获取 PdbSig/PdbSig70 和 PdbAge .砰!就是这样。

由于某种原因，我刚刚为 SYSTEM32 文件夹中的 PDB 文件创建了适当的文件夹，最后将它们移动到本地符号存储。