[WinDbg Command]ln

  • Article

ln 명령은 해당 address 에 가장 근접한 Symbol 을 보여줍니다.
현재 EIP 의 내용으로 찾아보니 다음과 같이 나오는 군요
0: kd> ln
(81c35688)   nt!RtlpBreakWithStatusInstruction   |  (81c3568c)   nt!READ_REGISTER_UCHAR
Exact matches:
    nt!RtlpBreakWithStatusInstruction =
이 명령의 경우 다음의 경우에 편리할 것으로 보입니다.
Drwtsn 로그를 볼 경우 log 에 Symbol 이 없는 경우가 대부분 일 것입니다. 이때 분석하기는 정말 힘든데 해당 파일의 바이너리와 심볼의 가지고 있다면 Windbg 로 load 한 다음 ln 명령에을 사용해서 stack 의 내용을 입력해 본다면 symbol 을 찾아서 볼 수 있을 것 입니다.