通过崩溃地址使用map文件来定位

1.map文件的开头部分是map的创建时间，它一定要崩溃的pe文件的创建日期相同才有作用
2.map文件的第2行给出了pe文件的默认加载地址，如果没有冲突，这个地址将是pe文件在内存中的base地址
3.下面是函数，模块与地址的对应关系

有了崩溃地址，假设崩溃地址为0x100010bF,在map中看见最佳装载地址为0x10000000，假设这个就是装载base地址,通过崩溃地址在rva+base的地址中查找，找到这个地址或者更低地址上的公共函数或是静态函数，当然要是最接近的稍低地址

找到了这个函数就是崩溃的函数，使用这个崩溃地址减轻装载地址，再减去pe头0x00001000,得到rva值，在行号段中查找这个地址，就可以找到行号。