如何通过ntsd -d在windbg中显示源代码？

Question

当我通过windbg -k 在目标上传送ntsd -d 时，我无法在windbg 中显示源代码，但是当我在本地调试时它可以工作。

我想调试 Winlogon.exe 和 LSASS.exe 的第一个代码执行。但为了便于重现问题，我做了这样的设置：

• 我使用 CrashMe sample application，预构建源代码和符号，复制到目标和主机上的 C:\CrashMe
• 我在任何地方都使用适用于 Windows (DTW) 版本 6.12.0002.633 的 Windows 调试工具。
• 目标是运行 Windows XP SP3，宿主 Windows 7 Ultimate。
• 两台机器上的每个路径和设置都是相同的：DTW 路径和 crashme 路径。
• 我总是使用完全限定路径（如 c:\dtw\ntsd.exe）。
• 我在 VM 中运行 XP，使用 /noexecute=optin /fastdetect /debug /debugport=com1 /baudrate=115200 启动

我可以使用从 C:\CrashMe: 启动的这个命令在本地进行调试：

windbg -g -G -srcpath C:\CrashMe -y C:\CrashMe debug\CrashMe.exe

我可以启动 Windows XP 虚拟机并使用以下命令连接到它：

windbg -n -k com:pipe,port=\\.\pipe\com_1,reconnect -srcpath SRV*;C:\CrashMe -y   
c:\windows\system32;c:\windows\symbols;C:\CrashMe\debug  

但我需要调试远程机器。在目标上，我有以下选择：

1. 通过-server 和-remote 进行调试
2. 中断正在运行的进程
3. 使用图像文件执行选项 (IFEO)。

在每个选项中，我都可以看到符号（x crashme!* 有效）。

我无法使用#1 (-server) 或#2 (breakin.exe <pid>)，因为我要调试身份验证提供程序的启动代码，所以我需要在ntsd -d 下启动LSASS.exe。我不能让它运行并稍后附加。

我的理解是我需要使用 IFEO。使用 gflags.exe 而不是手动修改注册表，我将可执行选项设置为

c:\dtw\ntsd -d -G -lines -x -y c:\symcache;c:\windows\system32 -n -srcpath C:\CrashMe\ 

• 我可以中断应用程序，但我设置的断点永远不会命中。
• 我可以.open任何文件，但我不能使用该文件设置断点。
• 我可以 x（检查）任何符号
• 我看不到源代码。

如何查看在ntsd -d 到windbg -k 下运行的进程的DLL 源代码？

Answer 1

TL;DR：使用 -server -ddefer 并通过设置了 .lsrcpath 的第二个 windbg 会话进行连接以获得您想要的。

其余的： 源代码模式需要从运行调试器的系统访问源文件。在通过内核模式连接调试用户模式代码的情况下，这变得很棘手。由于测试是在目标机器上的 ntsd 上下文中执行的，并且该机器被分解到调试器中，因此加载源文件通常不起作用。我相信如果你在目标机器上放置一个完整的源代码树或者将源路径指向一个共享，它可能会，但我还没有验证。

我验证的是you can use this method to get source files loaded in your host machine.

这通过执行以下操作来工作：

1. 启动主机内核调试器
2. 使用（例如）`ntsd -server tcp:port=50000 -ddefer test.exe` 在目标计算机上启动 ntsd
3. 开始连接到您的调试服务器（例如，在 WinDbg 中，我使用 ctrl+r `tcp:port=50000,server=tawnos-target`）
4. 连接将挂起。切换到您的内核调试器（应该位于 Input> 处）并运行 `.sleep 5000` 以完成连接
5. 此时，您的远程连接应该完成。您现在可以根据需要重新加载符号并使用 .lsrcpath 设置 windbg 将使用的 srcpath 以查看源代码