首页
社区
课程
招聘
[原创]JunkRemove 花指令跳转修正
发表于: 2011-8-30 13:22 7873

[原创]JunkRemove 花指令跳转修正

2011-8-30 13:22
7873
JunkRemove
(may be call it JumpFix is better, but I'm lazy to rename it, some code from "IDA_ExtraPass_PlugIn" by Sirmabus)

An IDA Pro 6.1 plug-in.
By HyperIris   ( fsstudio at 263.net)
V0.1

Some times, when we disasm packed code or some type of exe shell, the junk code will makes IDA crazy.
IDA can't handle junk code correctly, the padding bytes after jmp are totally garbage, but IDA thinks they are opcode.

This plugin will fix these jumps in some degree.

See the screen shots.
1.jpg is the initial IDA analysis result.
2.jpg is after jump fix.

chinese:

当我们用IDA处理某些加壳的文件,IDA会错误的对花指令进行反汇编,尤其是跳转指令后面跟随的那些垃圾字节,
IDA会把它们当作正常的机器指令进行处理。

这个插件会根据跳转的目的地址修正这些被花指令扰乱的反汇编结果。

算法很简单,以后可能会再加一些功能,不过目前就这么多了,一上午写的。

有两张图
1.jpg 是IDA刚完成自动分析时的样子,可以看到有两处跳转被花指令扰乱了。
2.jpg 是用插件修正后的跳转,这样我们就可以用CodeDoctor这样的插件进一步把花指令去掉。

源代码:
http://code.google.com/p/openhyper/

[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入!

上传的附件:
收藏
免费 0
支持
分享
最新回复 (0)
游客
登录 | 注册 方可回帖
返回
//