我们是如何断定 CcNamespace.dll 是一组过早卸载的 DLL 的“主谋”的？How did we conclude that CcNamespace.dll was the ringleader of a group of DLLs that unloaded prematurely?

当我分享关于一个线程从已卸载的第三方 DLL 中执行而导致的崩溃分析时，有人问我，是如何断定 CcNamespace.dll 是这一系列相关 DLL 的“罪魁祸首”的。

最近卸载的 DLL 列表记录在一个循环历史记录中。¹ 因此，当你看到一堆 DLL 连续列出时，它们是一个接一个被卸载的。²

00007ff9`6d7c0000 00007ff9`6d80a000   FabrikamContextMenu.dll
00007ff9`115e0000 00007ff9`1172f000   LitWareSync.dll
00007ff9`643d0000 00007ff9`64681000   CcNamespace.dll
00000000`55440000 00000000`5550b000   LibDB_CloudNs_3.dll
00000000`55860000 00000000`55998000   LibNet_CloudNs_3.dll
00000000`557f0000 00000000`5585b000   LibJson_CloudNs_3.dll
00000000`55510000 00000000`557e7000   LibUtils_CloudNs_3.dll
00000000`561a0000 00000000`56238000   MSVCP100.dll
00000000`56240000 00000000`56312000   MSVCR100.dll
00007ff9`85130000 00007ff9`85167000   EhStorShell.dll
00007ff9`3cac0000 00007ff9`3cb61000   wpdshext.dll
00007ff9`78a00000 00007ff9`78a26000   EhStorAPI.dll
00007ff9`686f0000 00007ff9`68754000   PlayToDevice.dll
00007ff9`67110000 00007ff9`6718d000   provsvc.dll

从相似的名字可以看出，Lib⟦...⟧.CloudNs.3.dll 这些 DLL 显然都是密切相关的。

CcNamespace.dll 这个名字某种程度上是对应得上的，如果你假设 Cc 代表“Contoso Cloud”，而其他 DLL 名字中的 Ns 是“Namespace”的缩写。

我不确定已卸载 DLL 列表是按时间正序还是倒序排列的，但事实证明这对本次分析并不重要：CcNamespace.dll 要么是第一个，要么是最后一个卸载的，而且它的名字与其他 DLL 略有不同，这一事实进一步印证了它是将整个 DLL 家族紧密联系在一起的关键枢纽这一推论。

为什么名字略有不同会成为其中的一个因素呢？

其他 DLL 似乎都来自该公司反复使用的一个辅助 DLL 库。那个名字略有不同的 DLL 就是“牵头人”，它负责从其他 DLL 中组建一支助手团队。这就像你参加婚宴或其他高级活动时，你能认出服务人员的负责人，因为他们的着装和其他人略有不同。你可以想象，如果出于某种原因需要这些工作人员集合并排成一列行走，负责人通常会走在队伍的最前面或最后面。

在列表开头或结尾发现这个略有不同的名字并不能作为绝对证明，但它是非常有力的证据。而且我们通过从应用程序兼容性库中安装一份 Contoso Cloud，并查看哪个 DLL 被注册为命名空间扩展 DLL，从而验证了这一推论。

¹ 调试器只是将每个已卸载的 DLL 添加到数组中，当到达数组末尾时，“下一个 DLL 存放位置”的指针会循环回到数组的开头。遗憾的是，调试器中并没有任何指示来表明“下一个 DLL 存放位置”的指针究竟在哪里。

² 即使它们是按顺序排列的，你也不知道它们之间间隔了多长时间。

作者

Raymond 参与了 Windows 的演进超过 30 年。2003 年，他创建了一个名为 The Old New Thing 的网站，其受欢迎程度远远超出了他最疯狂的想象，这一发展至今仍让他感到有些忐忑不安。这个网站还衍生出了一本书，巧的是书名也叫《The Old New Thing》（Addison Wesley 2007 年出版）。他偶尔会出现在 Windows Dev Docs 的 Twitter 账号上讲讲故事，不过这些故事并没有提供什么有用的信息。