在地图文件中解析AccessViolation的地址

Question

我的一位用户报告了一些我想要分析的罕见的AccessViolations.

我有完全相同的源代码,所以我可以创建一个MAP文件.但我不知道如何在MAP文件中找到AccessViolation提供的地址.

(将来,我们希望使用像JclDebug这样的框架来创建可用的堆栈跟踪).

我已经设置了一个例子:

procedure CrashMe;
var
  k: TMemo; a: TButton;
begin
  k.Text := 'abc';
  k.Color := clBlack;
  k.Assign(a);
end;

procedure TForm1.Button1Click(Sender: TObject);
begin
  CrashMe;
end;

访问冲突是:

地址004146CF.从地址B2D88B53读取.

在地图文件中,我找到以下内容:

 Start         Length     Name                   Class
 0001:00401000 000556A8H .text                   CODE
 0002:00457000 00000770H .itext                  ICODE
 0003:00458000 00001B0CH .data                   DATA
 0004:0045A000 00004CCCH .bss                    BSS
 0005:00000000 00000038H .tls                    TLS

 ....

 0001:000552F0       Unit1..TForm1
 0001:00055498       Unit1.CrashMe
 0004:00004CC8       Unit1.Form1
 0001:000554C8       Unit1.TForm1.Button1Click

为什么AV说地址004146CF,而MAP文件说0001:00055498？

即使我减去CODE段的起始地址(0001),我仍然得到004146CF-00401000 = 136CF,这也不是我想要的.

我也试图通过搜索字符串":00414"找到错误地址,但它没有找到任何内容.

如何在MAP文件中查找AV中的地址？

Answer 1

为什么AV说地址004146CF,而MAP文件说0001:00055498？

004146CF是在运行时崩溃的代码指令的实际内存地址,而.map文件中的地址是相对的,因为在编译时不知道进程的实际加载地址.

即使我减去CODE段的起始地址(0001)

0001不是地址,更不用说起始地址了.它只是在.map给定段的文件顶部定义的ID号. 0001:00055498指00055498标识为的段内的相对地址0001.

我仍然得到004146CF-00401000 = 136CF,这也不是我想要的.

通常,进程的加载地址是$400000(实际值在"项目选项"中定义,$400000默认情况下),但由于各种原因(例如重新基础),在运行时可能会有所不同.确定实际加载地址后,需要在进程中包含代码段的实际偏移量.该偏移量通常是 $1000(实际值在已编译的可执行文件的PE头中定义).因此,要将运行时的内存地址映射到.map文件中的地址,通常会$401000从运行时内存地址中减去.价值观可能不同!

在这种情况下,结果值136CF将是您要0001在.map文件中查找代码段的项目.您不太可能找到完全匹配,因为崩溃的代码很可能在函数的中间,很少在函数的最开始.所以你会寻找一个.map起始地址最接近136CF但不超过它的物品.

您没有显示整个.map文件,因此您的代码段中没有任何项目接近136CF.但实际崩溃CrashMe本身并不像你期望的那样.它实际上是在内部CrashMe()调用的另一个函数内部.设置TMemo.Text属性调用TWinControl.SetText(),调用TControl.GetText(),调用TWinControl.GetTextLen(),试图访问时崩溃FHandle或FText无效的数据成员TMemo对象:

procedure TWinControl.SetText(const Value: TCaption);
begin
  if GetText <> Value then // <-- here
  begin
    if WindowHandle <> 0 then
      Perform(WM_SETTEXT, 0, string(Value))
    else
      FText := Value;
    Perform(CM_TEXTCHANGED, 0, 0);
  end;
end;

function TControl.GetText: TCaption;
{$IF DEFINED(CLR)}
begin
  Result := GetTextPiece(GetTextLen);
end;
{$ELSE}
var
  Len: Integer;
begin
  Len := GetTextLen; // <-- here
  SetString(Result, PChar(nil), Len);
  if Len <> 0 then
  begin
    Len := Len - GetTextBuf(PChar(Result), Len + 1);
    if Len > 0 then
      SetLength(Result, Length(Result) - Len);
  end;
end;
{$IFEND}

function TWinControl.GetTextLen: Integer;
begin
  if WindowHandle <> 0 then // <-- here
    Result := Perform(WM_GETTEXTLENGTH, 0, 0)
  else
    Result := Length(FText); // <-- or here
end;

在诊断AV时,如果要将崩溃映射到CrashMe(),则仅具有AV的内存地址是不够的,因为该内存地址不在CrashMe()其自身内部.您需要一个完整的堆栈跟踪通向AV,以显示CrashMe()在某个时刻被调用并进行后续调用,从而导致实际的AV.一个.map文件将无法帮你取一个堆栈跟踪,你需要处理的运行时库,在崩溃,如JclDebug,MadExcept,EurekaLog,等的时间