IDA与windbg分析.dll库文件

最新推荐文章于 2024-04-22 18:01:46 发布

千万小心

最新推荐文章于 2024-04-22 18:01:46 发布

阅读量2.1k

点赞数

分类专栏： Crack 文章标签： idc

本文链接：https://blog.csdn.net/weixin_45799954/article/details/115623476

版权

3 篇文章 0 订阅

订阅专栏

IDA打开.dll库文件
用windbg attach到指定某一进程（File->attach to a process）,打开进程后会可在（Debug->modules）看到该进程用了那些.dll库文件
IDA：修改基址让.dll库的地址与windbg保持同步（IDA:Edit->segments->Rebase program,Windbg:Debug->modules查看地址）
IDA：\可以选择隐藏函数中变量类型，使得函数看起来更简洁。
左侧IDA, 右侧windbg
Windbg：Debug->Event Fliter选择忽略运行调试中的指定错误。

比如要定位读取某个文件的代码
IDA: 在view->open subviews ->strings 打开string窗口，Alt+T查找字符型，Ctrl+T查找下一个。
寻找函数中的循环，找到读取RouteLR.dst的位置
搜索命令s -a 000007ffd002d0000 Lfffffff "ERROR: Invalid"（000007ffd002d0000是模块librdi_device首地址，Lfffffff是搜索偏移量）
可以使用上文堆栈信息 (bp address 设置断点) （bl 查看断点）
条件断点：执行多少次中断
r $t0 = 0
bp XXX+0x2B8553 “r $t 0 = @$ t0+1;.printf “times: %d\n”,@ $t 0; . e c h o; . i f (@$ t0 == 0x10){}.else{gc}”
定位中断后，命令ba r8 00007ffd`01746aa8 设置读数据断点，在进程中执行特定命令触发中断
windbg命令d + address显示内存信息，下面的命令可以用于打印有用的内存log信息。
.logopen C:\Users\Administrator\Desktop\vivado\log.txt
d 000001f5ebe3fa10 000001f5ebe40400
.logclose

关注