PDB符号文件
一、什么是PDB文件
PDB(Program DataBase)，全称为“程序数据库”文件。存储程序的所有调试信息数据。在编译连接时，如果选择了/debug选项或/debug:full选项，则最新的Microsoft链接器在链接时创建程序数据库（PDB）文件。pdb文件包含有关可执行文件创建的信息，还包含最新codeview格式的符号信息。可执行文件包含本地计算机上PDB文件的路径和文件名以及标识代码，以便找到正确的PDB文件。
它包含用于引入的调试信息存储在 Visual c + + 版本 1.0 中新的格式。 格式更改为最重要的动机是允许的第一次在 Visual c + + 2.0 版中引入了更改的程序的调试版本的增量链接。现在的格式版本是7.0版本。将来可能还会变化，比如在将来.PDB 文件也将保留其他项目状态信息。
二、PDB文件存储格式
pdb文件格式与磁盘文件系统使用的格式类似。磁盘文件系统将被分为若干块数据，这些数据称为固定大小的“扇区”。文件中的数据包含在那些在文件写入磁盘时标识为备用的扇区中，但它们不一定是连续的。文件目录跟踪数据在磁盘上的位置。在pdb文件中，将数据块称为“pages”、将文件中的数据称为“stream”以及将文件目录称为“stream directory”可能更为合适。
PDB文件格式并未公开，但是Microsoft提供了API来读取PDB中的数据，可以参考CCI开源项目。虽然官方未公开格式，但是The RSDS pdb format对PDB的文件格式做了较详细的介绍。PDB的文件格式类似于磁盘的文件系统，每个磁盘会被划分成很多个大小一样的扇区，文件中的数据就存放在不同的扇区中，而且无需保证这些扇区在磁盘上是连续的。PDB文件用page进行划分，类似于扇区，stream就类似于文件，stream directory类似于文件目录。
下面我们就用winhex来看下PDB中到底存放了那些信息吧。
2.1 PDB数据组织结构
2.2 PDB头部结构
PDB符号文件浏览工具介绍
一、SymView
SymView工具用来显示符号文件中包含的符号表和符号数据。目前支持微软的Visual C/C++和C#编译器产生的DBG格式的符号文件和PDB格式的符号文件。
SymView提供了以下多种方式来查看或者搜索符号文件的内容：
- 符号表 PDB或DBG文件中可以包含6种符号表，分别为符号表、源文件表、节贡献表、段表、注入源代码表和帧数据表。
- 编译素材（Compiland） 用于产生可执行文件的各种素材文件，包括OBJ、DLL、RES等。
- 数据流 比如描述FPO的FPO数据流。
- 符号类标（Tag） 根据所描述对象，符号被分为函数、常量、用户定义类型（UDT）、类型、常量等30多个类型。
- 搜索 可以按照符号逻辑关系或者符号名称等搜索符号。
下图是SymView的一个截图，左侧提供了上面介绍的5种观察视图。右侧上方的网格窗口用于显示左侧选中表格或者符号类的所有数据行或者符号。右侧下方用于显示上方选中行的子符号或者相关信息（属性）。 
例如，目前使用的符号类表视图，选中的是UDT类型，右侧上方显示的是目前符号文件（ＮＴ内核的公共符号文件）中的所有ＵＤＴ类型的符号。右侧下方显示的是上方选中的_DBGKD_BREAKPOINTEX类型的所有属性。
最下方的窗口用户显示SymView程序自身的调试信息，可能包含它工作过程中遇到的异常或者错误情况。
下载地址：http://advdbg.org/books/swdbg/t_symview.aspx
二、Pdbripper
这款Pdb文件提取工具可以将符号文件提取出来，用于单独查看调试文件是否正确。非常好用的一款小工具。
下载地址：http://ntinfo.biz/index.html
Windows异常相关数据结构
当一个异常发生时，操作系统要向引起异常的线程的栈里压入三个结构，这三个结构是：E X C E P T I O N _ R E C O R D结构、C O N T E X T结构和E X C E P T I O N _ P O I N T E R S结构。
一、E X C E P T I O N _ R E C O R D
这个结构包含有关最近发生的异常的详细信息，这些信息独立于C P U，定义如下：
typedefstruct_EXCEPTION_RECORD
{
DWORD ExceptionCode;
DWORD ExceptionFlags;
struct_EXCEPTION_RECORD *ExceptionRecord;
PVOID ExceptionAddress;
DWORD NumberParameters;
ULONG_PTR ExceptionInformation[EXCEPTION_MAXIMUM_PARAMETERS];
} EXCEPTION_RECORD;
ExceptionCode：包含异常的代码。这同内部函数G e t E x c e p t i o nCo d e()返回的信息是一样的。这是一个硬件异常产生的代码或者由RaiseException函数指定产生的软件异常码。
ExceptionFlags：包含有关异常的标志。当前只有两个值，分别是0（指出一个可以继续的异常）和E X C E P T I O N _ N O N C O N T I N U A B L E（指出一个不可继续的异常）。在一个不可继续的异常之后，若要继续执行，会引发一个E X C E P T I O N _ N O N C O N T I N U A B L E _E X C E P T I O N异常。
ExceptionRecord：指向另一个未处理异常的E X C E P T I O N _ R E C O R D结构。在处理一个异常的时候，有可能引发另外一个异常。例如，异常过滤器中的代码就可能用零来除一个数。当嵌套异常发生时，可将异常记录链接起来，以提供另外的信息。如果在处理一个异常过滤器的过程当中又产生一个异常，就发生了嵌套异常。如果没有未处理异常，这个成员就包含一个N U L L。
ExceptionAddress：指出产生异常的C P U指令的地址
NumberParameters： 规定了与异常相联系的参数数量（0 到1 5 ）。这是在E x c e p t i o n I n f o r m a t i o n数组中定义的元素数量。对几乎所有的异常来说，这个值都是零。
ExceptionInformation: 规定一个附加参数的数组，用来描述异常。对大多数异常来说，数组元素是未定义的。RaiseException函数可以指定这个参数数组。下面的表格展示了哪些异常码的数组元素是定义了的。
| Exception code | Meaning |
|---|---|
|
The first element of the array contains a read-write flag that indicates the type of operation that caused the access violation. 数组的第一个元素包含了一个读写标志，表示引起访问违规的操作类型。If this value is zero, the thread attempted to read the inaccessible data. 如果这个值为0，表示线程试图读取不可访问的数据。If this value is 1, the thread attempted to write to an inaccessible address. 如果这个值为1，表示线程试图写入不可访问的地址。If this value is 8, the thread causes a user-mode data execution prevention (DEP) violation.如果这个值是8，表示线程线程引发了一个用户模式的DEP违规。 The second array element specifies the virtual address of the inaccessible data.数组的第二个元素指定了不可访问数据的虚拟地址。 |
|
The first element of the array contains a read-write flag that indicates the type of operation that caused the access violation. 数组的第一个元素包含了一个读写标志，用于表示引起访问违规的操作类型。If this value is zero, the thread attempted to read the inaccessible data. 如果值为0，表示线程试图读取不可访问的数据。If this value is 1, the thread attempted to write to an inaccessible address. 如果值为1，表示线程试图写入不可访问的地址。If this value is 8, the thread causes a user-mode data execution prevention (DEP) violation.如果值为8，表示线程引起了一个用户模式的DEP违规。 The second array element specifies the virtual address of the inaccessible data.数组的第二个元素指定了不可访问数据的虚拟地址。 The third array element specifies the underlying NTSTATUS code that resulted in the exception.数组的第三个元素表示底层的NTSTATUS码引起的本次异常。 |
二、C O N T E X T
包含处理器特定的寄存器数据。系统使用上下文结构执行各种内部操作。
typedef struct _WOW64_CONTEXT {
DWORD ContextFlags;
DWORD Dr0;
DWORD Dr1;
DWORD Dr2;
DWORD Dr3;
DWORD Dr6;
DWORD Dr7;
WOW64_FLOATING_SAVE_AREA FloatSave;
DWORD SegGs;
DWORD SegFs;
DWORD SegEs;
DWORD SegDs;
DWORD Edi;
DWORD Esi;
DWORD Ebx;
DWORD Edx;
DWORD Ecx;
DWORD Eax;
DWORD Ebp;
DWORD Eip;
DWORD SegCs;
DWORD EFlags;
DWORD Esp;
DWORD SegSs;
BYTE ExtendedRegisters[WOW64_MAXIMUM_SUPPORTED_EXTENSION];
} CONTEXT;三、E X C E P T I O N _ P O I N T E R S
这个结构只有两个数据成员，二者都是指针，分别指向被压入栈的E X C E P T I O N _ R E C O R D和C O N T E X T结构：
typedefstruct _EXCEPTION_POINTERS
{
PEXCEPTION_RECORDExceptionRecord;
PCONTEXTContextRecord;
} EXCEPTION_POINTERS, *PEXCEPTION_POINTERS;
当我们在调试程序异常时可以利用这些数据结构的数据来分析定位问题代码。
Windows异常
一、什么是异常
异常指的是在程序运行过程中发生的异常事件，通常是由外部问题（如硬件错误、输入错误）所导致的。简单来说异常就是对于非预期状况的处理，当我们在运行某个程序时出现了异常状况，就会进入异常处理流程。
二、异常分类
根据异常来源分，可以分为如下两种异常：
- 硬件异常
硬件异常是由cpu产生，其中硬件异常又和中断、系统调用等行为有着密切的联系。硬件异常可以分为三种：fault，在处理此类异常时，操作系统会将遭遇异常时的“现场”保存下来（比如EIP、CS等寄存器的值），然后将调用相应的异常处理函数，如果对异常的处理成功了（没成功的情况会在下文中提到），那就恢复到原始现场，继续执行。最经典的fault例子莫过于Page Fault了，在分页机制下，当我们读到某个还未载入到内存的页时，就会触发该异常，操作系统会将该页载入内存，然后重新执行读取该页的指令，这是分页机制实现的重要机制；trap，在处理此类异常时，操作系统会将异常的“下文”保存，在处理异常后，直接执行导致异常的指令的下一条指令。我们在调试过程中常用的断点操作就是基于这类异常的，当我们在某处下断点时调试器会将原本此处的指令对应的十六进制保存下来，然后替换第一个字节替换为0xCC的，也就是int 3，造成断点异常，中断（此处的中断用的是break，而我们一般说的中断是interrupt，请读者务必区分清楚）到调试器，程序在运行到此处就会停止等待下一步的指令，而当我们继续执行时调试器就会将该指令替换为原来的指令，程序也就恢复正常执行了。不知道大家有没有注意过，在进行程序调试时经常会看见hex界面显示大量的“烫烫烫”，这其实是0xcc对应的中文字符，因为这些地址的内容程序并不想让我们访问，一旦我们访问这些地址，就会读到0xcc，程序也就“中断”了；abort，中止异常，主要是处理严重的硬件错误等，这类异常不会恢复执行，会强制性退出。 - 软件异常
软件异常是由操作系统或应用程序产生的，它又包含了windows为我们定义好的异常处理和我们自己写的异常处理（各种编程语言中的try-catch结构）。这类异常追根溯源都是基于RaiseException这个用户态API和NtRaiseException的内核服务建立起来的。
三、异常和错误的区别
我们平时编程过程中，异常和错误我们都会遇到。一般在编译期，我们会遇到很多编译错误，在链接期可能也会产生链接错误，这些错误严格来说还算不上程序错误。层序运行时，Windwos系统的各种API执行失败返回时，通过线程局部存储保存的error信息是错误，一般这种错误不会改变线程的执行路径，当然，如果我们不检测处理，最终会导致异常退出。异常一定是程序运行期产生的，异常发生时一定会改变线程的执行路径。
Windows异常处理机制简介
windows系统里，为了保证系统内核的强壮和稳定，为了保证用户程序的强壮和稳定，提供了异常处理机制，来帮助程序员和系统使用人员处理异常。简单来说，当CPU执行代码时，发生异常，会把异常告知操作系统，操作系统首先会让程序自身处理这个异常，程序自身有能力(程序中注册的有异常处理函数)处理，程序就继续运行；程序自身没有能力处理(程序中没有注册异常处理函数)，这个异常还没有被处理，就有操作系统来处理，就提示用户是调用调试器调试还是结束程序。如果在有调试器参与的情况下，程序出现异常，操作系统不会把异常处理权交给程序自身而是调试器，调试器可以把处理权继续转交给程序，也可以自己处理。为了完成前面讲的过程，Windwos信息提供了SEH和VEH两种处理机制。下面分别简单介绍。
一、SEH异常处理机制
SEH是windows操作系统异常处理机制,叫结构化异常处理，在程序源代码中使用__try,__except,__finally关键字来具体实现。