1.map文件的开头部分是map的创建时间,它一定要崩溃的pe文件的创建日期相同才有作用
2.map文件的第2行给出了pe文件的默认加载地址,如果没有冲突,这个地址将是pe文件在内存中的base地址
3.下面是函数,模块与地址的对应关系
有了崩溃地址,假设崩溃地址为0x100010bF,在map中看见最佳装载地址为0x10000000,假设这个就是装载base地址,通过崩溃地址在rva+base的地址中查找,找到这个地址或者更低地址上的公共函数或是静态函数,当然要是最接近的稍低地址
找到了这个函数就是崩溃的函数,使用这个崩溃地址减轻装载地址,再减去pe头0x00001000,得到rva值,在行号段中查找这个地址,就可以找到行号。