如何在WinDbg中加载旧版Windows DLL符号及获取特定ntdll.dll符号

一、不用下载旧版ntdll.dll，直接获取对应PDB符号 #

Windows官方符号服务器存储了所有公开版本系统组件的PDB文件，包括你需要的10.0.17763.5458版ntdll.dll的符号，完全不需要手动下载dll文件。按以下步骤配置WinDbg即可自动获取：

• 打开WinDbg，按Ctrl+S打开符号路径设置窗口；
• 输入符号路径：srv*C:\Symbols*https://msdl.microsoft.com/download/symbols（C:\Symbols是本地缓存目录，可自行替换成你想要的路径）；
• 点击确定，后续WinDbg会自动下载匹配版本的PDB到本地缓存。

二、加载指定版本符号并通过偏移地址定位函数 #

优先用崩溃现场生成的dump文件排查——dump会保留崩溃时所有模块的版本和内存状态，加载后WinDbg会自动匹配对应符号。如果是手动操作：

1. 加载dump文件后，执行.symfix C:\Symbols快速设置符号路径，接着执行.reload /f ntdll.dll强制重新加载ntdll的符号；
2. 用偏移地址查对应符号：输入命令ln ntdll!+0x<你的偏移地址>（比如偏移是0xABC，就输ln ntdll!+0xABC），WinDbg会返回该偏移对应的函数名及邻近符号信息。

三、解决本地exe加载不同版本ntdll的问题 #

本地运行自己的exe时，系统会加载当前环境的ntdll.dll，和崩溃环境版本不一致是正常现象。正确的排查姿势是用崩溃现场的dump文件，而不是本地运行exe。如果没有dump文件：

1. 确保符号已下载到本地，执行!sym noisy开启符号调试模式，再用.reload /f ntdll.dll=10.0.17763.5458命令指定版本加载符号；
2. 之后用ln命令结合偏移地址就能查到对应的符号了。

内容的提问来源于stack exchange，提问作者mccoyn