如何從dump文件中提取出C#源代碼
一：背景
相信有很多朋友在遇到應(yīng)用程序各種奇葩問(wèn)題后，拿下來(lái)一個(gè)dump文件，辛辛苦苦分析了大半天，終于在某一個(gè)線(xiàn)程的調(diào)用棧上找到了一個(gè)可疑的方法，但 windbg 常常是以 匯編 的方式顯示方法代碼的，可惜的是，現(xiàn)如今的匯編，有多少像我們這些速成系碼農(nóng)還看的懂呢？😂😂😂
接下來(lái)尖銳的問(wèn)題就來(lái)了，如何將這些匯編代碼轉(zhuǎn)成 C# 源代碼，如果轉(zhuǎn)不成源代碼轉(zhuǎn)成 IL代碼也好呀，起碼我努努力還是能試著看的懂的。。。
本篇我就來(lái)分享下如何把 dump 中的方法源碼提取出來(lái)。
二：從 dump 文件中提取源代碼
1. 案例演示
為了能夠演示方便，我用 .netcore 3.1 寫(xiě)了一個(gè)簡(jiǎn)單的demo，代碼如下：
namespace ConsoleApp6
{
class Program
{
static void Main(string[] args)
{
Run();
}
static void Run()
{
Console.WriteLine("hello world!");
Console.ReadLine();
}
}
}
將程序跑起來(lái)后，使用 任務(wù)管理器, adplus, procdump 隨便哪一個(gè)抓取 dump 都可以。
2. 使用 lm + savemodule 命令提取
如果你的程序足夠簡(jiǎn)單，可以直接用 lm 獲取程序中所有的模塊，然后使用 savemodule 將模塊導(dǎo)出為 exe/dll 物理文件，如下所示：
- 使用 lm 提取出所有模塊
0:000> lm start end module name 000002c2`264b0000 000002c2`264b8000 ConsoleApp6_2c2264b0000 (deferred) 00007ff7`e4a50000 00007ff7`e4a7f000 ConsoleApp6 (deferred) 00007ffa`a4b50000 00007ffa`a546d000 System_Private_CoreLib (deferred) 00007ffa`a5470000 00007ffa`a59df000 coreclr (deferred) 00007ffa`df070000 00007ffa`df1b2000 clrjit (deferred) ...
可以隱約的看到，我有一個(gè)名為 ConsoleApp6_2c2264b0000 的模塊，這就是我要提取的 ConsoleApp6.exe，順便提一下，那個(gè)很礙眼的 ConsoleApp6 (deferred) 是 PE 文件，要問(wèn)我怎么知道的？試一下就好啦😁
- 使用 savemodule 提取
從上面第一行 start 列中可以看到 ConsoleApp6_2c2264b0000 的開(kāi)始地址為 000002c2264b0000，接下來(lái)用 savemodule 導(dǎo)出到 E:\dump。
0:000> !savemodule 000002c2`264b0000 E:\dump\ConsoleApp6.exe 3 sections in file section 0 - VA=2000, VASize=6c4, FileAddr=200, FileSize=800 section 1 - VA=4000, VASize=564, FileAddr=a00, FileSize=600 section 2 - VA=6000, VASize=c, FileAddr=1000, FileSize=200
然后就可以看到 E:\dump 里面多了一個(gè) ConsoleApp6.exe 🐂，有了這玩意看源碼就簡(jiǎn)單多了，直接用 ILSpy 對(duì)其進(jìn)行反編譯即可。
3. 使用 dumpdomain/module + savemodule 提取
實(shí)際開(kāi)發(fā)中有可能你的程序非常復(fù)雜，使用 lm 直接提取模塊是找不到的，最好的辦法就是 按圖索驥 的方式尋找你要的 module，還記得 CLR Via C# 上說(shuō)過(guò)的 AppDomain，Assembly，Module 之間的關(guān)系嗎？如果要詳細(xì)了解，建議翻看一下，這里我大概簡(jiǎn)述一下， Assembly 一般包含若干個(gè) Module + 資源文件, Assembly 就是一個(gè) dll/exe 文件，程序跑起來(lái)后，Assembly是被妥善安置在 AppDomain 中的。
有了上面這個(gè)思想，是不是就可以通過(guò)這個(gè)流程 AppDomain -> Assembly -> Module 找到 module 啦？接下來(lái)看看如何去實(shí)現(xiàn)。
- 使用 !dumpdomain 找到 ConsoleApp6 所在的程序域
0:000> !dumpdomain -------------------------------------- System Domain: 00007ffaa59996f0 LowFrequencyHeap: 00007FFAA5999C58 HighFrequencyHeap: 00007FFAA5999CE8 StubHeap: 00007FFAA5999D78 Stage: OPEN Name: None -------------------------------------- Domain 1: 000002c224b6ca80 LowFrequencyHeap: 00007FFAA5999C58 HighFrequencyHeap: 00007FFAA5999CE8 StubHeap: 00007FFAA5999D78 Stage: OPEN Name: clrhost Assembly: 000002c224bf1c00 [C:\Program Files\dotnet\shared\Microsoft.NETCore.App\3.1.12\System.Private.CoreLib.dll] ClassLoader: 000002C224B61820 Module 00007ffa45984020 C:\Program Files\dotnet\shared\Microsoft.NETCore.App\3.1.12\System.Private.CoreLib.dll Assembly: 000002c224bf1980 [E:\net5\ConsoleApp3\ConsoleApp6\bin\Debug\netcoreapp3.1\ConsoleApp6.dll] ClassLoader: 000002C224BE3F80 Module 00007ffa45b5f7d0 E:\net5\ConsoleApp3\ConsoleApp6\bin\Debug\netcoreapp3.1\ConsoleApp6.dll
尷尬，記得不錯(cuò)的話(huà)，在 .NET Framework 中默認(rèn)會(huì)有三個(gè)應(yīng)用程序域。
- System Domain
- Shared Domain
- Domain 1
咋到 .NET Core 上就丟了一個(gè) Shard Domain 呢 😄😄😄，先不管啦，從圖中可以清楚的看到 Domian 1 上有我的dll E:\net5\ConsoleApp3\ConsoleApp6\bin\Debug\netcoreapp3.1\ConsoleApp6.dll，同時(shí)還有一個(gè) module 的地址 00007ffa45b5f7d0。
- 使用 !dumpmodule 獲取 module 詳細(xì)信息
0:000> !DumpModule /d 00007ffa45b5f7d0 Name: E:\net5\ConsoleApp3\ConsoleApp6\bin\Debug\netcoreapp3.1\ConsoleApp6.dll Attributes: PEFile SupportsUpdateableMethods Assembly: 000002c224bf1980 BaseAddress: 000002C2264B0000 PEFile: 000002C224BF2300 ModuleId: 00007FFA45B5FB98 ModuleIndex: 0000000000000001 LoaderHeap: 0000000000000000 TypeDefToMethodTableMap: 00007FFA45B3C8D0 TypeRefToMethodTableMap: 00007FFA45B3C8E8 MethodDefToDescMap: 00007FFA45B3C958 FieldDefToDescMap: 00007FFA45B3C978 MemberRefToDescMap: 0000000000000000 FileReferencesMap: 00007FFA45B3C988 AssemblyReferencesMap: 00007FFA45B3C990 MetaData start address: 000002C2264B2078 (1304 bytes)
從上面的 BaseAddress: 000002C2264B0000 可以看出，module 的start 地址為 000002C2264B0000，是不是和剛才我用 lm 提取出來(lái)的地址一致哈，最后用 savemodule 導(dǎo)出一下就可以啦,為了做區(qū)分，我取名為 ConsoleApp7.exe, 如下所示：
哈哈，剩下來(lái)的就是用 ILSpy 反編譯 CosoleApp7 啦。
以上就是如何從dump文件中提取出C#源代碼的詳細(xì)內(nèi)容，更多關(guān)于dump 文件中提取出 C# 源代碼的資料請(qǐng)關(guān)注腳本之家其它相關(guān)文章！
相關(guān)文章
這篇文章主要介紹了C#獲取漢字字符串拼音首字母的方法,實(shí)例分析了C#操作漢字及字符串的技巧,具有一定參考借鑒價(jià)值,需要的朋友可以參考下2015-03-03
測(cè)試框架nunit之a(chǎn)ssertion斷言使用詳解
NUnit是.Net平臺(tái)的測(cè)試框架，廣泛用于.Net平臺(tái)的單元測(cè)試和回歸測(cè)試中,下面我們用示例詳細(xì)學(xué)習(xí)一下他的使用方法2014-01-01
C#算法之無(wú)重復(fù)字符的最長(zhǎng)子串
這篇文章介紹了C#算法之無(wú)重復(fù)字符的最長(zhǎng)子串，文中通過(guò)示例代碼介紹的非常詳細(xì)。對(duì)大家的學(xué)習(xí)或工作具有一定的參考借鑒價(jià)值，需要的朋友可以參考下2022-01-01
System.Threading.Timer 是一個(gè)簡(jiǎn)單的輕量計(jì)時(shí)器，它使用回調(diào)方法并由線(xiàn)程池線(xiàn)程提供服務(wù)。在必須更新用戶(hù)界面的情況下，建議不要使用該計(jì)時(shí)器，因?yàn)樗幕卣{(diào)不在用戶(hù)界面線(xiàn)程上發(fā)生2013-10-10
分享WCF聊天程序--WCFChat實(shí)現(xiàn)代碼
無(wú)意中在一個(gè)國(guó)外的站點(diǎn)下到了一個(gè)利用WCF實(shí)現(xiàn)聊天的程序，作者是：Nikola Paljetak。研究了一下，自己做了測(cè)試和部分修改，感覺(jué)還不錯(cuò)，分享給大家2015-11-11
這篇文章主要介紹了C#獲取程序文件相關(guān)信息的方法,可實(shí)現(xiàn)獲取程序版本號(hào)、版權(quán)聲明、程序文本信息等,需要的朋友可以參考下2014-09-09
本篇文章主要介紹了C# CheckedListBox控件的用法總結(jié)，想要學(xué)習(xí)CheckedListBox的同學(xué)可以了解一下。2016-12-12
C#使用iTextSharp封裝的PDF文件操作類(lèi)實(shí)例
這篇文章主要介紹了C#使用iTextSharp封裝的PDF文件操作類(lèi),實(shí)例分析了C#操作pdf文件的技巧,非常具有實(shí)用價(jià)值,需要的朋友可以參考下2015-03-03
附加事件可用于在非元素類(lèi)中定義新的 路由事件 ，并在樹(shù)中的任何元素上引發(fā)該事件。本文通過(guò)簡(jiǎn)單的示例為大家講解一下WPF附加事件的用法，需要的可以參考一下2022-12-12
C#驗(yàn)證碼識(shí)別類(lèi)完整實(shí)例
這篇文章主要介紹了C#驗(yàn)證碼識(shí)別類(lèi),以一個(gè)完整實(shí)例形式較為詳細(xì)的分析了驗(yàn)證碼圖片處理所涉及的各種常用技巧,具有一定參考借鑒價(jià)值,需要的朋友可以參考下2015-07-07