首页
社区
课程
招聘
[原创]windbg下断辅助
发表于: 2012-4-14 07:03 7442

[原创]windbg下断辅助

2012-4-14 07:03
7442

小软件说明,

   昨晚玩QQ欢乐斗地主,豆输光了,
无聊之余写下这小东西,
只为了方便自己在调试没有符号文件的驱动时提供方便。
没啥技术含量,毋笑之!

 2012.04.14
  by:小覃

-------------------------------------------
-------------------------------------------

实现的过程就是按特征搜索函数的文件偏移,
再将偏移转换为rva,
就这么简单.........

遍历过程如下,

  
......
CString strBP="";
DWORD FuncOffset = m_lPESec.FindNextFunc();
  while ( FuncOffset )
  {
    CString strTemp="";
    DWORD rav = m_lPESec.OffsetToRva( FuncOffset );
    strTemp.Format("bu %s+%X", m_strName, rav );
    strBP += strTemp;
    strBP += "\r\n";
    FuncOffset = m_lPESec.FindNextFunc();
  }

[培训]内核驱动高级班,冲击BAT一流互联网大厂工作,每周日13:00-18:00直播授课

上传的附件:
收藏
免费 6
支持
分享
最新回复 (9)
雪    币: 615
活跃值: (172)
能力值: ( LV9,RANK:140 )
在线值:
发帖
回帖
粉丝
2
生成文件里的内容一次性拷贝到kd命令行中执行即可。。。
2012-4-14 07:22
0
雪    币: 2271
活跃值: (2160)
能力值: (RANK:400 )
在线值:
发帖
回帖
粉丝
3
兄弟很早啊。
目测如果不是mov ebp,esp这样开头的就断不下来拉。
2012-4-14 08:31
0
雪    币: 1137
活跃值: (10)
能力值: ( LV7,RANK:100 )
在线值:
发帖
回帖
粉丝
4
写成个windbg的扩展那就更好了:)
2012-4-14 09:31
0
雪    币: 343
活跃值: (40)
能力值: ( LV5,RANK:60 )
在线值:
发帖
回帖
粉丝
5
有想法!目测特征值是mov edi, edi; push ebp; mov ebp, esp;
2012-4-14 10:03
0
雪    币: 615
活跃值: (172)
能力值: ( LV9,RANK:140 )
在线值:
发帖
回帖
粉丝
6
各编译器编译出来的函数序言是一样的,在xp以以上版本序言是5个字节,
mov edi, edi,push ebp,mov ebp, esp
win2k以前系统函数的序言是3字节push ebp,mov ebp esp
2012-4-14 18:23
0
雪    币: 615
活跃值: (172)
能力值: ( LV9,RANK:140 )
在线值:
发帖
回帖
粉丝
7
很好的建议, 不过最近也没什么时间,各种忙...........
2012-4-14 18:27
0
雪    币: 615
活跃值: (172)
能力值: ( LV9,RANK:140 )
在线值:
发帖
回帖
粉丝
8
不过在调试某些exe可执行程序时发现没有函数特征,不知道为什么?
按特征搜索函数不是很好的方法,最好还是从CALL得到子过程来下断,
这个小程序主要是用来辅助windbg断驱动的,exe程序这样断就没意义了..
2012-4-14 18:51
0
雪    币: 2271
活跃值: (2160)
能力值: (RANK:400 )
在线值:
发帖
回帖
粉丝
9
看来兄弟是没逆过其他的驱动啊。
2012-4-14 21:38
0
雪    币: 615
活跃值: (172)
能力值: ( LV9,RANK:140 )
在线值:
发帖
回帖
粉丝
10
嗯,最近才搞点驱动,
2012-4-14 21:53
0
游客
登录 | 注册 方可回帖
返回
//