游戏崩溃后对dmp文件的分析

sky258

相关工具：WinDbg
ollydbg
要求：
有一定的逆向基础
游戏崩溃时会在客户端目录生成dmp文件(内存镜像文件)

1.
使用WinDbg 打开dmp文件



首次打开可能要稍微等待一下，因为他要下载一些符号文件
2.
在命令处输入.excr 快速定位崩溃位置

崩溃的模块，和一些寄存器信息
可以看到是lua这里崩溃了，大致应该是在访问了一个不存在的指针，导致崩溃。

3.
输入!analyze -v 让windbg 给我们分析下崩溃原因


返回结果

1. *******************************************************************************
   
2. *                                                                             *
   
3. *                        Exception Analysis                                   *
   
4. *                                                                             *
   
5. *******************************************************************************
   
6. 
   
7. *** WARNING: Unable to verify checksum for game.exe
   
8. *** WARNING: Unable to verify checksum for libcocos2d.dll
   
9. *** WARNING: Unable to verify checksum for OpenAL32.dll
   
10. 
    
11. KEY_VALUES_STRING: 1
    
12. 
    
13.     Key  : AV.Fault
    
14.     Value: Read
    
15. 
    
16.     Key  : Analysis.CPU.Sec
    
17.     Value: 0
    
18. 
    
19.     Key  : Analysis.DebugAnalysisProvider.CPP
    
20.     Value: Create: 8007007e on DESKTOP-15R5MQL
    
21. 
    
22.     Key  : Analysis.DebugData
    
23.     Value: CreateObject
    
24. 
    
25.     Key  : Analysis.DebugModel
    
26.     Value: CreateObject
    
27. 
    
28.     Key  : Analysis.Elapsed.Sec
    
29.     Value: 63
    
30. 
    
31.     Key  : Analysis.Memory.CommitPeak.Mb
    
32.     Value: 169
    
33. 
    
34.     Key  : Analysis.System
    
35.     Value: CreateObject
    
36. 
    
37.     Key  : Timeline.Process.Start.DeltaSec
    
38.     Value: 1003
    
39. 
    
40. 
    
41. APPLICATION_VERIFIER_FLAGS:  0
    
42. 
    
43. CONTEXT:  (.ecxr)
    
44. eax=f8b9d2ec ebx=0ad501c8 ecx=1d18b38c edx=1d18ba60 esi=0ad501c8 edi=00000610
    
45. eip=622828ee esp=009eec80 ebp=0e6e19c8 iopl=0         nv up ei pl nz na pe nc
    
46. cs=0023  ss=002b  ds=002b  es=002b  fs=0053  gs=002b             efl=00210206
    
47. lua51!lua_yield+0x1a72e:
    
48. 622828ee 8b07            mov     eax,dword ptr [edi]  ds:002b:00000610=????????
    
49. Resetting default scope
    
50. 
    
51. EXCEPTION_RECORD:  (.exr -1)
    
52. ExceptionAddress: 622828ee (lua51!lua_yield+0x0001a72e)
    
53.    ExceptionCode: c0000005 (Access violation)
    
54.   ExceptionFlags: 00000000
    
55. NumberParameters: 2
    
56.    Parameter[0]: 00000000
    
57.    Parameter[1]: 00000610
    
58. Attempt to read from address 00000610
    
59. 
    
60. PROCESS_NAME:  game.exe
    
61. 
    
62. READ_ADDRESS:  00000610
    
63. 
    
64. ERROR_CODE: (NTSTATUS) 0xc0000005 - 0x%p            0x%p                    %s
    
65. 
    
66. EXCEPTION_CODE_STR:  c0000005
    
67. 
    
68. EXCEPTION_PARAMETER1:  00000000
    
69. 
    
70. EXCEPTION_PARAMETER2:  00000610
    
71. 
    
72. STACK_TEXT:  
    
73. WARNING: Stack unwind information not available. Following frames may be wrong.
    
74. 009eec88 62282b0f 0ad501c8 7edefed8 009eecfc lua51!lua_yield+0x1a72e
    
75. 009eecbc 622832a9 0ad501c8 622baf1d 009eecf8 lua51!lua_yield+0x1a94f
    
76. 009eed2c 756c2e6e 005d2261 00000000 00000000 lua51!luaL_traceback+0x169
    
77. 009eedbc 76680b82 009eedc8 e24c4a02 00000001 shell32!CMergedFldrNamespace::GetDropFolder+0x7f
    
78. 00000000 00000000 00000000 00000000 00000000 KERNELBASE!RaiseException+0x62
    
79. 
    
80. 
    
81. SYMBOL_NAME:  lua51!lua_yield+1a72e
    
82. 
    
83. MODULE_NAME: lua51
    
84. 
    
85. IMAGE_NAME:  lua51.dll
    
86. 
    
87. STACK_COMMAND:  ~0s ; .ecxr ; kb
    
88. 
    
89. FAILURE_BUCKET_ID:  NULL_CLASS_PTR_READ_c0000005_lua51.dll!lua_yield
    
90. 
    
91. OS_VERSION:  10.0.19041.1
    
92. 
    
93. BUILDLAB_STR:  vb_release
    
94. 
    
95. OSPLATFORM_TYPE:  x86
    
96. 
    
97. OSNAME:  Windows 10
    
98. 
    
99. FAILURE_ID_HASH:  {b7ee08a3-73c5-e01f-6723-47799b22f4eb}
    
100. 
     
101. Followup:     MachineOwner
     
102. ---------
     

复制代码

看下给出堆栈信息使用了lua的traceback函数，这时候肯定是会有lua报错的，我们可以到客户端的dbug窗口查看错误信息
4.定位到出错的位置打开ollydbg附加到进程 查看模块信息 可执行模块, 条目 24 基址=62580000 大小=00066000 (417792.) 入口=625D87BA lua51.<ModuleEntryPoint> 名称=lua51 路径=D:\开发\Client\lua51.dll

ctrl+n 找一下lua_yield这个函数的起始地址

625881C0 >  56                     push esi
然后625881C0 + 偏移地址 1a72e  =  625A28EE


ctrl+g定位到详细的位置



以上只是举一个简单的例子
我们查看堆栈信息的时候已经执行过了traceback，那么lua绝对会抛出错误信息，我们根据错误信息解决崩溃问题就可以了
如果没有错误信息，我们就要慢慢分析调试了...