PDB 路径能说明什么
Windows 可执行文件在编译时会写入调试目录条目，其中记录 PDB 文件的完整路径。该路径常包含构建机的用户名、项目目录名与工具链目录，能反映样本的构建环境。它是同源关联的辅助线索：多个样本出现相同或高度相似的构建路径，说明它们可能出自同一台构建机或同一套构建流程。路径可以被编译选项清除，也可以被伪造，作为线索使用时要标注置信度。
基本信息
| 位置 | PE 可选头之后的调试目录（CodeView）条目 |
|---|---|
| 内容 | 构建路径、项目名、用户名片段、工具链线索 |
| 提取方式 | strings 或 PE 解析工具查看调试目录 |
| 可靠性 | 可被清除或伪造，属辅助线索 |
典型使用场景
- 样本量较大时，用构建路径把疑似同源样本先分组
- 判断样本是否由开发环境直接编译，而非专业免杀流程
- 对比两个样本的构建机用户名，验证同源假设
- 补充样本画像中的构建环境一栏，供后续报告引用
提取调试路径
提取调试路径
strings.exe -n 5 sample.exe | Select-String -Pattern '\.pdb|Users|build' | Select-Object -First 10 # 抽路径片段
# 需要更精确时用 PE 解析工具直接读取调试目录条目
# 关注：盘符、构建根目录、项目名、用户名、工具链目录
# 例：C:\Users\dev01\source\repos\loader\x64\Release\loader.pdb路径片段读法
| 片段 | 含义 | 判读要点 |
|---|---|---|
| 用户名 | 构建机登录账号 | 同一账号出现在多个样本可支持同源 |
| 项目目录名 | 工程内部命名 | 命名习惯比路径前缀更稳定 |
| 工具链目录 | 编译环境与版本线索 | 可提示使用的构建平台 |
| 盘符与根目录 | 构建机目录结构 | 可判断是否为默认安装路径 |
路径缺失不代表样本被刻意处理，很多发布构建会关闭调试信息或剥离符号，判断时要结合其他特征。
不同团队可能共用相同的账号命名或默认路径，路径相似度高只能作为线索，不能单独作为同源结论。