可以使用WinDbg将PE映像作为转储文件打开

WinDbg、ntsd、cdb、kd和其他任何使用DbgEng打开转储文件的工具都有一个鲜为人知的特性。
事实证明，使用DbgEng提供的任何功能，在任何可以打开转储文件（用户转储、内核转储等）的地方，都可以打开PE映像（.exe/.dll/.sys/etc），并让调试器将其视为只包含所选PE映像内容的转储。
这实际上是一个相对有用的特性。当您将PE映像作为转储文件打开时，调试器将其映射为映像，就好像它是作为可执行代码加载到内存中一样（尽管它实际上不运行任何代码，但只是将其映射为可执行文件而不是数据文件）。这将获得exe/dll/sys/other PE文件的内存表示形式，就好像您正在调试加载有问题图像的实时进程（或转储）。
与转储调试会话一样，这本质上是一个只读会话；您不能真正修改任何内容，因为没有要控制的目标。此外，也没有真正的寄存器上下文（或堆栈或堆），尽管初始化和零填充的全局变量以及属于该模块的可执行代码将在内存中。（在这种情况下，模块的首选映像库用于将请求的PE模块建立在为调试会话构造的虚拟地址空间中。）
加载完目标后，您可以执行通常对转储执行的大部分操作，只要检查符号并分解目标即可。如果您需要一个具有符号支持的反汇编程序，并且不能启动一个进程或什么不包含PE映像，那么这个特殊的技巧是一个功能更全面的反汇编程序的quick-n-dirty替换。
注意，在转储模式下打开PE映像的一个副作用是符号服务器用于检索二进制文件（这可能看起来有点奇怪，直到您考虑到对于转储文件，通常情况是您没有将整个二进制文件保存在内存中；只有足够的头信息从符号服务器检索二进制文件）。因此，在尝试此特殊技巧之前，请确保您的符号路径设置正确。