WinDBG中如何重命名函数、创建自定义符号标注目标地址

WinDBG完全支持类似x64dbg的自定义函数/地址重命名标注功能，针对单地址临时标注、批量标注IAT trampoline两类需求，分别有对应实现方式：

单地址快速重命名 #

• 如果你使用商店版的WinDbg Preview：直接在反汇编窗口、调用栈窗口或内存窗口定位到目标地址（比如你提到的example+0x14对应地址），右键点击地址选择「Add Label」，输入自定义名称如example-printf确认即可。后续所有反汇编输出、调用栈、断点列表里引用该地址的位置，都会直接显示你设置的自定义名称，操作逻辑和x64dbg完全一致，标注默认在当前调试会话生效，也支持导出持久化保存。
• 如果你使用经典版WinDBG：可以通过自定义符号文件的方式添加单地址标注，无插件环境下优先用自定义符号方案。

批量标注IAT Trampoline实现步骤 #

针对你需要批量解析IAT、标注trampoline的需求，最高效的方案是加载自定义符号表，全程不需要修改二进制文件：

1. 定位目标模块IAT地址
   执行!dh <模块基址> -f命令，从输出的目录表信息中找到导入表（Import Table）的RVA和大小，与模块基址相加即可得到IAT的虚拟内存起始地址。
2. 批量提取trampoline地址
   用内存搜索命令s，在模块代码段范围内搜索间接跳转指令特征（x86/x64下IAT trampoline一般为FF 25开头的间接跳转，跳转目标指向IAT条目），遍历搜索结果就能拿到所有trampoline桩函数的起始地址。
3. 生成自定义符号文件
   新建纯文本文件，每行对应一个自定义符号，格式如下：

   <自定义符号名> = <模块名>!<函数偏移>
   

   比如example模块基址为0x400000，对应printf的trampoline位于0x401014，则写为：

   example-printf = example!0x1014
   

   所有trampoline条目按此格式逐行写入，保存为.sym后缀的符号文件，放到单独的符号目录中。
4. 加载自定义符号
   在WinDBG中执行以下命令，将自定义符号目录加入搜索路径并重载对应模块符号：

   .sympath+ C:\your\custom\sym\dir
   .reload /f <目标模块名>
   

   加载完成后，所有标注的trampoline地址都会直接显示你设置的自定义名称。

临时会话快速标注方案 #

如果不需要持久化保存标注，仅在当前调试会话使用，可以用别名命令快速绑定地址与名称：

aS /x example-printf example+0x14

执行后可以直接用example-printf代指该地址，配合al命令可以列出所有已设置的自定义别名，适合少量临时标注场景。如果需要批量操作，可以写简单的循环脚本自动遍历trampoline并执行别名设置命令，调试结束后别名自动失效，不会留下残留配置。

内容的提问来源于stack exchange，提问作者reza_679