Question

我的一位用户报告了一些我想要分析的罕见AccessViolation。

我的源代码完全是Build，所以我可以创建一个MAP文件。但我不知道如何在MAP文件中找到AccessViolation提供的地址。

（将来，我们希望使用像JclDebug这样的框架来创建可用的堆栈跟踪。）

我已经设置了一个例子：

procedure CrashMe;
var
  k: TMemo; a: TButton;
begin
  k.Text := 'abc';
  k.Color := clBlack;
  k.Assign(a);
end;

procedure TForm1.Button1Click(Sender: TObject);
begin
  CrashMe;
end;

访问冲突是：

地址004146CF。从地址B2D88B53读取。

在地图文件中，我找到以下内容：

 Start         Length     Name                   Class
 0001:00401000 000556A8H .text                   CODE
 0002:00457000 00000770H .itext                  ICODE
 0003:00458000 00001B0CH .data                   DATA
 0004:0045A000 00004CCCH .bss                    BSS
 0005:00000000 00000038H .tls                    TLS

 ....

 0001:000552F0       Unit1..TForm1
 0001:00055498       Unit1.CrashMe
 0004:00004CC8       Unit1.Form1
 0001:000554C8       Unit1.TForm1.Button1Click

为什么AV说地址004146CF，而MAP文件说0001：00055498？

即使我减去CODE段的起始地址（0001），我仍然得到004146CF-00401000 = 136CF，这也不是我想要的。

我还尝试通过搜索字符串“：00414”找到错误地址，但它没有找到任何内容。

如何在MAP文件中查找AV中的地址？

Answer 1

为什么AV说地址004146CF，而MAP文件说0001：00055498？

004146CF是在运行时崩溃的代码指令的实际内存地址，而.map文件中的地址是 relative ，因为在编译时不知道进程的实际加载地址。

即使我减去CODE段的起始地址（0001）

0001不是地址，更不用说起始地址了。它只是在给定段的.map文件顶部定义的ID号。 0001:00055498是指标识为00055498的细分中的相对地址0001。

我仍然得到004146CF-00401000 = 136CF，这也不是我想要的。

通常进程的加载地址为$400000（实际值在项目选项中定义，默认为$400000），但可能会有所不同运行时由于各种原因，例如重新编写。确定实际加载地址后，需要在流程中包含代码段的实际偏移量。该偏移量通常为 $1000（实际值在已编译的可执行文件的PE头中定义）。因此，要将运行时的内存地址映射到.map文件中的地址，您通常从运行时内存地址中减去$401000。值可能不同！

在这种情况下，结果值136CF将是您要在0001文件中使用.map代码段查找的项目。您不太可能找到 EXACT 匹配，因为崩溃的代码最有可能出现在函数的 middle 中，很少在函数的最开头。因此，您需要查找一个.map项，其起始地址最接近136CF而不超过它。

您没有显示整个.map文件，因此您的代码段中没有任何项目接近136CF。但实际崩溃不在CrashMe本身，就像你期望的那样。它实际上在CrashMe()内部调用的另一个函数内部。设置TMemo.Text属性调用TWinControl.SetText()，调用TControl.GetText()，调用TWinControl.GetTextLen()，在尝试访问FHandle或FText数据时崩溃无效TMemo对象的成员：

procedure TWinControl.SetText(const Value: TCaption);
begin
  if GetText <> Value then // <-- here
  begin
    if WindowHandle <> 0 then
      Perform(WM_SETTEXT, 0, string(Value))
    else
      FText := Value;
    Perform(CM_TEXTCHANGED, 0, 0);
  end;
end;

function TControl.GetText: TCaption;
{$IF DEFINED(CLR)}
begin
  Result := GetTextPiece(GetTextLen);
end;
{$ELSE}
var
  Len: Integer;
begin
  Len := GetTextLen; // <-- here
  SetString(Result, PChar(nil), Len);
  if Len <> 0 then
  begin
    Len := Len - GetTextBuf(PChar(Result), Len + 1);
    if Len > 0 then
      SetLength(Result, Length(Result) - Len);
  end;
end;
{$IFEND}

function TWinControl.GetTextLen: Integer;
begin
  if WindowHandle <> 0 then // <-- here
    Result := Perform(WM_GETTEXTLENGTH, 0, 0)
  else
    Result := Length(FText); // <-- or here
end;

在诊断AV时，如果要将崩溃映射到CrashMe()，则仅具有AV的内存地址是不够的，因为该内存地址不在CrashMe()内。您需要一个完整的堆栈跟踪通向AV，以显示在某个时刻调用CrashMe()并进行后续调用以导致实际的AV。 .map文件无法帮助您获得堆栈跟踪，您需要一个在崩溃时处理它的运行时库，例如JclDebug，MadExcept，EurekaLog等。

Answer 2

详细的地图文件应包含按标识符名称排序的部分和按地址排序的另一部分（实际上按RVA，相对虚拟地址排序）。您将物理地址转换为RVA的技术是正确的。只需转到按地址排序的部分，找到最接近但不超过$ 136cf的地址。这应该是崩溃发生的功能。

但是，您需要确保使用调试DCU进行构建。否则，您只会看到代码的程序部分的地址。

对于DLL / Packages，它们很可能会加载PE文件中指定的默认地址以外的地址。在这种情况下，您需要找到该特定模块的基址。打开Modules视图（Ctrl-Alt-M或View | Debug Views | Modules ...）。查找基址最接近但不大于崩溃地址的模块。该模块的地址将是＆＃34;基地址＆＃34;。使用此值计算RVA，然后转到该模块的MAP文件以查找位置。

在地图文件中解析AccessViolation的地址

2 个答案: