我知道 Immdbg 已经可以识别 Windows 内部函数名称，例如 kernel32.dll 和 user32.dll
我想要的是像 WinDbg 一样加载 Internet Explorer 符号。有人知道这是可能的吗，比如 mshtml.dll？
在 Immunity Debugger 中加载 IE 符号
逆向工程
免疫调试器
调试符号
2021-06-19 22:14:43
1个回答
Immunity Debugger 1.60 及更高版本支持在本地或从符号服务器加载 PDB 符号文件。为了启用它。
- 转到Debug菜单 -> Debugging Symbol Options。
- 提供符号文件或符号服务器的本地路径。
更新
如果 ImmDbg 成功加载了指定文件的 pdb 符号，您将在日志中以Debugging Information (DIA Format) availabledll 加载事件下方的形式收到一条消息。请参阅下图以供参考。
如果即使在这一切之后，您也无法为文件加载适当的符号，那么
- 您可能错误地配置了符号路径。
- 在本地符号的情况下，系统上存在的 PDB 文件与 PE 不匹配。
- 对于符号服务器，找不到合适的 PDB 文件。
在这种情况下，您可以运行windbg 提供的symcheck工具。示例用法
C:\Program Files\Debugging Tools for Windows (x86)>symchk C:\WINDOWS\system32\kernel32.dll /s C:\WINDOWS\Symbols
SYMCHK: FAILED files = 0
SYMCHK: PASSED + IGNORED files = 1
C:\Program Files\Debugging Tools for Windows (x86)>symchk C:\WINDOWS\system32\mshtml.dll /s C:\WINDOWS\Symbols
SYMCHK: mshtml.dll FAILED - mshtml.pdb mismatched or not found
SYMCHK: FAILED files = 1
SYMCHK: PASSED + IGNORED files = 0
更新 2
加载了mshtml.dll符号的 Immunity Debugger 的屏幕截图。这是取自 Windows XP SP3。
其他信息：ImmDbg 无法从 MS 符号服务器下载符号，因此必须使用 symcheck 工具下载mshtml.dll 的符号。
symchk /r c:\windows\system32\mshtml.dll /s SRV*c:\symbols\*http://msdl.microsoft.com/download/symbols
符号目录应如下所示。
C:\symbols>dir
Volume in drive C has no label.
Volume Serial Number is 042A-A7E6
Directory of C:\symbols
06/05/2015 12:39 PM <DIR> .
06/05/2015 12:39 PM <DIR> ..
04/15/2008 09:21 AM 7,965,696 mshtml.pdb
06/05/2015 11:17 AM 0 pingme.txt
接下来，将 ImmDbg 指向C:\symbols\. 使用loaddll加载mshtml.dll并在加载时自动获取符号。这也可以在日志中看到。
