| 位置 | 调试目录（CodeView）条目 |
|---|---|
| 内容 | 构建路径、项目名、用户名片段 |
提取
提取
strings.exe -n 5 sample.exe | Select-String -Pattern '\.pdb|\\Users\\|\\build' | Select-Object -First 10调试路径可被伪造或清除，作为线索使用并按置信度标注。
PDB 路径与编译环境线索
PE 中的调试路径（PDB）常包含编译机的用户名或项目目录，是样本同源性关联的辅助线索之一。
易错点
- 不同团队可能共用构建机器的命名
- 路径缺失不代表样本被刻意处理
数据来源与参考
- PE 格式文档（CodeView 调试信息）
- SANS 样本同源分析资料