WinDbg混合调试中为何找不到CreateFile()符号？

• CreateFile是用户态API，属于kernel32.dll或kernelbase.dll（Windows新架构下），并非内核态的ntoskrnl.exe（对应nt!前缀）模块导出的函数。你用x nt!*CreateFile*搜索的是内核模块的符号，自然找不到用户态的CreateFile。
• 你找到的nt!NtCreateFile是内核态的系统服务函数，是用户态CreateFile最终通过系统调用进入内核后的执行入口，二者分属不同的执行层级，签名和实现逻辑都有差异。
• 要在WinDbg中定位CreateFile的符号，需要确保加载了目标用户态进程的符号，然后使用x kernel32!CreateFile*或x kernelbase!CreateFile*来搜索。如果符号未加载，可通过.reload /user命令强制加载用户态符号。

内容的提问来源于stack exchange，提问作者Tracy McDowell