学习过程当中记录一下

2021年09月15日 阅读数:5
这篇文章主要向大家介绍学习过程当中记录一下,主要内容包括基础应用、实用技巧、原理机制等方面,希望对大家有所帮助。
u DbgPrint l 20
nt!DbgPrint:
80528e72 8bff                        mov         edi,edi
80528e74 55                            push        ebp
80528e75 8bec                        mov         ebp,esp
80528e77 8d450c                    lea         eax,[ebp+0Ch]
80528e7a 50                            push        eax
80528e7b ff7508                    push        dword ptr [ebp+8]
80528e7e 6a00                        push        0
80528e80 6aff                        push        0FFFFFFFFh
80528e82 686c8e5280            push        offset nt!DbgSetDebugFilterState+0xc (80528e6c)
80528e87 e86afdffff            call        nt!vDbgPrintExWithPrefix (80528bf6)
80528e8c 5d                            pop         ebp
80528e8d c3                            ret
80528e8e 00cc                        add         ah,cl
80528e90 cc                             int         3
80528e91 cc                             int         3
80528e92 cc                             int         3
80528e93 cc                             int         3
nt!DbgPrintEx:
80528e94 8bff                        mov         edi,edi
80528e96 55                            push        ebp
80528e97 8bec                        mov         ebp,esp
80528e99 8d4514                    lea         eax,[ebp+14h]
80528e9c 50                            push        eax
80528e9d ff7510                    push        dword ptr [ebp+10h]
80528ea0 ff750c                    push        dword ptr [ebp+0Ch]
80528ea3 ff7508                    push        dword ptr [ebp+8]
80528ea6 688e8e5280            push        offset nt!DbgPrint+0x1c (80528e8e)
80528eab e846fdffff            call        nt!vDbgPrintExWithPrefix (80528bf6)
最近遇到一个问题,想要肯定某一函数的大小,这在IDA的输出表种能够很清楚的看到。
那么怎么才能肯定某一函数的大小呢?
求助之后,假如两个函数是相邻的,那么能够经过 FUN2() 开头- FUN1()开头
获得函数的大小。
好比WINDBG中显示的:如上图。
 
记得在搜索导出表的时候,是一个FOR循环的过程,那这个循环过程是否是就是相邻的呢?
 
还记得《软件加密技术内幕》上面有牛人的分析导出表的过程,那么拿来看看吧。
 

  pwOrds        = (PWORD)RvaToPtr(pNtH, stMapFile.ImageBase,pExportDir->AddressOfNameOrdinals);
  pdwRvas     = (PDWORD)RvaToPtr(pNtH, stMapFile.ImageBase,pExportDir->AddressOfFunctions);
  pdwNames    = (PDWORD)RvaToPtr(pNtH, stMapFile.ImageBase,pExportDir->AddressOfNames);

   if(!pdwRvas)
     return;
    
  hList=GetDlgItem(hDlg,IDC_EXPORT_LIST);
  SendMessage(hList,LVM_SETEXTENDEDLISTVIEWSTYLE,0,(LPARAM)LVS_EX_FULLROWSELECT);
    
    
  iNumOfName=pExportDir->NumberOfNames;

   for( i=0;i<pExportDir->NumberOfFunctions;i++)
  {
     if(*pdwRvas)
    {        
       for( j=0;j<iNumOfName;j++)
      {
         if(i==pwOrds[j])
        {    
          bIsByName=TRUE;
          szFuncName=( char*)RvaToPtr(pNtH,stMapFile.ImageBase,pdwNames[j]);
           break;
        }
        
        bIsByName=FALSE;
      }
                    
pwOrds 是输出序号,pdwRvas 是函数的RVA(这个值加上导出该函数模块的加载地址就能够获得函数的输出地址),pdwNames就是平时咱们看到的函数名称了。
 
for( i=0;i<pExportDir->NumberOfFunctions;i++)
这一句就是咱们平时分析导出函数的地址时候最经常使用的一句了。
那么?这是否是就是分析的相邻的两个函数呢?
  学习过程当中记录一下_休闲_61
 
能够看到这个表输出的RVA并非像我原先想象的那样,是FUN1()的RVA +   SIZEOF( FUN1() )就是第二个函数FUN2()的RVA。
 
那咱们经过什么方法来获得呢?
在与qq聊友的对话中,突发灵感,通常函数的特征都是末尾是RET,开头是
PUSH EBP;
MOV  EBP,ESP;
。。。
这样的话,咱们彻底能够把上面的东西做为特征码。只要两个函数之间没有那个特征,那么这两个函数就是我所谓的两个“相邻的函数”。
 
可是貌似微软的结尾函数有些是不同的,有些是0X90.有的是以INT3结尾的,那么这部就复杂了?
哦,对了,函数的开头是
mov     edi, edi
push    ebp
mov     ebp, esp
这在内核函数仍是普通的函数中都是适用的。那么,思路就有了,咱们找到了2个含有上述特征码的函数后(证实这2个函数是我所谓的相邻的函数),再分析这两个函数的开头特征,只要这两个函数RVA相减就获得了这个函数的大小了。固然前提是这两个函数中间不含有多余的无用代码。
 
不过貌似R3下的函数都有一个特征哎。就是那几个nop了。
不知道是否是通用。
 
学习过程当中记录一下_休闲_62
 
IDA是如何作到的呢?
 
继续思考中。。。
 
顺便加一个VC下如何获得函数大小的帖子