IDA Pro调试dll为什么经常进不去 IDA Pro调试dll加载时机通常怎么确认

IDA Pro调试DLL为什么经常进不去，以及DLL的加载时机通常要怎么确认，是不少人在调试插件、组件库或业务模块时会碰到的情形。DLL本身一般不是独立运行的程序，它需要被某个宿主进程加载之后才会去执行代码。IDA的调试器既可以启动新的进程，也能够附加到已经跑起来的进程上，官方的Win32本地调试说明里面也明确提到，IDA Debugger支持Run和Attach这两种方式。所以，调试DLL的时候，关键之处并不是只把dll文件打开，而是要找到正确的宿主进程和正确的加载时机。

一、IDA Pro调试DLL为什么经常进不去

调试DLL进不去的时候，常见的原因并不是IDA不能调，而是断点下得太早、进程附加得太晚，再或者，DLL根本还没有被加载进来。不少人直接把DLL拖进IDA，然后就去按启动调试，这样自然跑不起来，因为DLL并没有自己完整的进程环境。

1、没有找到宿主进程

调试DLL以前，需要先确认它由哪一个exe来加载，比如主程序、服务进程、插件容器或者测试的启动器等等。

可以在【Modules】窗口里面，查看当前进程已经加载的模块，去确认目标DLL是不是已经出现了。如果DLL还不在模块列表当中，就说明当前断点很有可能不会命中。

2、附加的时间太晚

有一部分DLL，在程序启动的早期就会被加载，等到附加调试器的时候，它的初始化代码可能早就已经执行完了。像DllMain、全局对象的初始化、插件注册这些逻辑，都有可能在加载的瞬间就完成了。这个时候再去下断点，就只能调到后面的函数，没有办法进入最早的初始化流程。

3、断点地址不匹配

DLL被加载以后会有一个实际的基址，在静态分析的时候看到的地址，跟运行时的地址，有可能并不完全一样。IDA一般会去处理重定位的问题，但如果数据库、模块、位数或者符号有哪里没有对应上，断点就可能下在了错误的位置上。调试以前，要确认32位和64位是一致的，也要确认当前打开分析的就是正在被加载的那一份DLL。

二、IDA Pro调试DLL加载时机通常怎么确认

确认加载时机的时候，不能只靠猜测。比较稳妥的方法，是先观察宿主进程什么时候去加载目标DLL，然后再去决定是启动调试、附加调试，还是用一个测试程序主动去加载它。

1、观察模块的加载情况

附加到宿主进程以后，可以通过【Modules】来查看DLL是不是已经被加载了，同时核对模块的路径、基址和文件名。

IDA官方的介绍当中也说明，它不仅是反汇编的工具，同时也提供动态调试的能力，支持设置断点、观察堆栈这一些调试方面的操作。如果模块路径跟你准备分析的那个文件不是同一个，就需要先去处理路径冲突的问题，不然就会调错版本。

2、在加载API附近下断点

要是不清楚DLL什么时候会被加载，可以去关注LoadLibrary、LdrLoadDll这一类跟加载有关的调用。宿主进程在调用这些函数的时候，一般就说明某个模块快要被加载了。断点命中以后，再去看参数或者返回的结果，就可以判断到底是不是目标DLL。这个方法比较适合插件式的程序，以及那些在运行过程中动态加载的模块。

3、使用测试宿主主动加载

如果目标DLL并不是非得依赖一个很复杂的主程序，那就可以去写一个简单的测试宿主，用它来调用LoadLibrary并且触发导出的函数。这样做，加载的时机是可控的，断点也比较容易命中。不过，要是DLL对业务环境、配置文件、注册表或者其他模块有很强的依赖，那这个测试宿主就只能用来做初步的定位，并不能完全替代真实的运行环境。

三、DLL调试时怎么减少反复进不去的问题

DLL调试不够稳定，通常跟环境、版本还有加载的顺序有关。要想少走一些弯路，最好先把宿主、路径、位数、符号和断点的策略都确认清楚，然后再动手去跟代码。

1、先确认位数和调试器的类型

32位的宿主加载的是32位的DLL，64位的宿主加载的是64位的DLL，调试器也要对应起来。位数要是不匹配，就有可能无法正常附加，或者看到的模块和调用关系并不完整。做远程调试的时候，也要确认调试服务器和目标环境是一致的，IDA远程调试的教程里面也强调过，需要先把目标的可执行文件准备好，再配置调试的选项。

2、保留可以重复的加载步骤

在调试以前，要把程序的启动方式、登录的步骤、触发的菜单、配置文件还有输入的条件都记录下来。DLL有可能只有在特定的功能被调用的时候才会去加载，如果触发的步骤不够稳定，就会出现这一次能进去、下一次又进不去的情况。

3、优先在明确的函数上断点

要是已经知道导出的函数、插件的入口或者关键的业务函数，就可以先在这些位置上把断点设下来。等到能够稳定命中了，再回过头来往前去追加载的过程。不要一上来就只盯着DllMain这一个地方，因为很多实际的逻辑并不一定就放在DllMain里面，过早地在初始化阶段停下来，也有可能会影响到宿主程序的正常加载。

总结

IDA Pro调试DLL为什么经常进不去，以及DLL加载时机通常怎么确认，核心的原因大多是DLL没有独立运行的入口、宿主进程没有找对、附加的时间太晚，或者模块的地址没有匹配上。处理的时候，应当先确认宿主进程，再去观察模块是不是已经加载了，必要的时候，可以在加载API附近下断点，或者用测试宿主主动去把DLL加载起来。只要宿主、位数、路径和加载时机这几个环节都确认清楚，IDA调试DLL就会稳定不少，不至于总是停在进不去、断点也不命中的状态。