IDA分析dmp文件时模块基址为何总不准 IDA分析dmp文件时基址校准一般怎么做

IDA分析dmp文件时模块基址为何总不准IDA分析dmp文件时基址校准一般怎么做，这是在调试崩溃转储、分析内存转储以及处理异常现场时很容易碰到的一类问题。dmp文件与普通的exe、dll文件并不相同，它所记录的是某一个时刻进程在内存中的状态。文件当中的模块，有可能已经被系统重新定位过，也有可能只保留了部分内存页。如果直接按照文件默认的基址去分析，就很容易出现函数地址、字符串引用以及调用关系全都对不上的情况。表面上看起来似乎是IDA识别出了差错，但实际上，问题往往出在加载基址没有校准好这一点上。

一、IDA分析dmp文件时模块基址为何总不准

分析dmp文件的时候，基址不准通常并不是由某一个孤立的原因造成的。Windows进程在加载模块时，会受到ASLR、重定位、加载顺序以及进程环境等多种因素的影响，而dmp当中保存的又恰好是运行时的状态。因此，它和磁盘上原始模块的地址经常是不一样的。只有先把这个差异理解清楚，后面再进行校准的时候，才不至于出现混乱。

1、运行时基址与文件默认基址并不相同

许多dll在PE头里面都设定了一个默认的ImageBase，但在程序真正跑起来的时候，却并不一定就会按照这个地址去加载。在开启ASLR的情况下，系统会把模块放置到另外一个地址上。IDA在打开磁盘文件时，所看到的是静态的默认基址，而dmp里面记录的，则是运行时的真实基址。这两个地址一旦不一致，交叉引用和符号就都会发生错位。

2、dmp内容有可能并不完整

dmp并不一定就包含了完整的模块。有些小型的转储文件，只保存了线程、栈、异常信息，以及一部分内存页，模块的代码段、数据段，或者堆当中的内容，都有可能缺失。在这种情况之下，即便IDA能够完成加载，分析人员看到的也往往只是一些片段。地址看起来好像不太准确，实际上，有时却是因为对应的内存页根本就没有被包含在dmp文件里面。

3、符号与模块版本之间不匹配

如果用来作为参照的pdb、exe或者dll，其版本与dmp现场所对应的并不是同一个版本，那么即便基址已经校准过了，函数名、行号以及偏移量仍然有可能对不上。尤其是在发布包经过了多次构建、热更新，或者补丁版本被混用的情况下，就很容易出现“地址能够对应上模块，但却对应不上函数”这类情况。

二、IDA分析dmp文件时基址校准一般怎么做

基址校准的关键之处，在于先要找到dmp当中模块的真实加载地址，然后再使IDA里模块的地址，与这个运行时的地址保持一致。不要刚一上来就凭着感觉去整体平移地址，最好先从模块列表、崩溃地址、调用栈以及映射范围这几个信息入手，进行交叉确认。

1、先确认模块的运行时地址

可以先从模块列表，或者调试器的相关信息当中，去查看目标模块的Base Address、Size以及路径，然后再把它们和IDA里面当前加载的地址进行比对。如果崩溃地址正好落在某个模块的范围以内，那么就可以用“崩溃地址减去模块基址”的办法，计算出RVA，再回到IDA里面去寻找对应的位置。如果这个RVA能够落到一个比较合理的函数附近，那就能说明所判断的基址基本是可信的。

2、在IDA当中调整Image Base

在确认了运行时的基址以后，可以通过IDA里面的rebase操作，把数据库当中的Image Base，调整到dmp里所记录的加载地址上去。在调整的时候需要注意，只应改动目标模块，不要把整个分析环境都移动得乱掉了。如果要分析的是多个dll，那么最好是一个模块一个模块地去校准，先处理与崩溃相关的模块，再去处理调用链上那些被依赖的模块。

3、利用关键地址反复进行校验

基址调整完之后，不要马上就着手进行深入分析，而是应当先用几个关键地址来做一次校验。比如异常地址、调用栈当中的返回地址、导出函数的地址、字符串引用的地址，以及已知的API调用点。如果这些位置都能落在合理的代码块或者函数边界之内，那就说明基址大体上是正确的；要是它们仍然落在了数据区，或者函数的中间位置，那就需要重新去检查模块的版本，以及转储的范围。

三、dmp基址校准后还要注意什么

基址对齐只不过是最先完成的一步，在此之后，还需要去确认符号、内存页，以及分析的范围是不是可靠。dmp分析与普通的静态分析并不一样，它更加像是在还原崩溃发生时的现场，因此不能仅仅依赖IDA自动识别出来的结果。

1、优先把与崩溃相关的模块对齐

如果dmp里面的模块数量比较多，不需要从一开始就全部去处理。可以先围绕崩溃线程、异常地址，以及调用栈，把那些直接相关的业务模块、核心dll，还有插件模块，先进行校准。这样做能够更快地定位到问题所在，也可以避免在无关的模块上花费时间。

2、检查pdb和二进制文件的版本

在使用符号文件的时候，需要确认pdb和二进制文件是来自同一次构建。如果版本不匹配，函数名和源码行号就有可能会对分析产生误导。即便在IDA里面能够把符号加载出来，也还是要通过时间戳、校验信息，或者是构建记录，去确认它们的一致性。

3、不要忽略栈和寄存器现场

dmp当中最有价值的地方，并不只有代码，崩溃发生时的寄存器、栈上的参数、返回地址，以及线程状态，同样也非常重要。在基址校准完成以后，要结合这些现场信息，去看看代码到底执行到了哪里、参数是否出现了异常、对象指针是否仍然有效。如果只是盯着反汇编地址去看，就很容易把真正触发问题的原因给漏过去。

总结

IDA分析dmp文件时模块基址为何总不准，以及IDA分析dmp文件时基址校准一般怎么做，这些问题的关键，都在于要去区分静态文件的基址，和运行时的加载基址。dmp当中的模块，有可能受到ASLR、重定位，以及转储范围的影响，因此不能直接按照磁盘文件的地址去进行分析。在校准的时候，应当先从模块列表、异常地址，还有调用栈入手，去确认真实的基址，然后再在IDA当中去调整Image Base，并且利用关键地址反复进行验证。等到基址、符号以及现场信息这几样都对齐了以后，对dmp的分析才更有可能还原出真实的崩溃过程。