首页
社区
课程
招聘
[求助]IDA 反汇编驱动的问题。
发表于: 2012-10-24 15:00 6063

[求助]IDA 反汇编驱动的问题。

2012-10-24 15:00
6063
我自己写了一个NT驱动,用IDA反汇编之后,驱动里所有函数都会被反汇编出来名称。
1. 这个是怎么做到的?
2. 驱动PE文件中那个地方是存储这些调用函数名的?
3. 不加壳,怎么能在驱动编译的时候去掉这些函数名?

[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入!

收藏
免费 0
支持
分享
最新回复 (7)
雪    币: 468
活跃值: (52)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
2
驱动编译有chk和fre模式,对应应用程序编译的debug和release模式,所以你应该选择fre模式来去掉debug信息。第二,编译产生.pdb文件,包含debug信息,删除这个pdb文件或者发布给别人sys文件但不包含pdb文件,那别人就无法获取调试信息。第三,好象有个编译开关,会在sys或者exe文件中写明pdb文件的目录,所以即使你的sys或者exe文件和pdb文件不在同一个目录,ida也可以找到对应的pdb进行反汇编,所有的符号和函数名全部都显现出来了。
2012-10-24 15:45
0
雪    币: 34
活跃值: (21)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
3
楼上正解,你应该是用了debug编译
2012-10-24 16:40
0
雪    币: 36
活跃值: (12)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
4
是free模式,发现配置了系统PDB路径的问题,结果IDA,自动识别了。换了个机器用IDA看就没有了。
2012-10-25 13:47
0
雪    币: 101
活跃值: (82)
能力值: ( LV3,RANK:30 )
在线值:
发帖
回帖
粉丝
5
你是把sys和pdb放在同一文件夹下面了吧,这样子的话IDA会自动寻找pdb,并且恰巧给找到了。这样子的话他就会把符号表给加载进去,所以所有的函数名和变量名都可以显示出来

如果你不想显示出来,重新新建一个项目,把pdb删除了单独反汇编sys,这样子就没有符号名了

sys中本身是不会保存函数名字的
2012-10-25 19:20
0
雪    币: 36
活跃值: (12)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
6
没有放在同一个目录下,只是配置了 windebug 的系统PDB路径中有这个驱动的符号,居然IDA 自动去识别了。
2012-10-26 11:21
0
雪    币: 291
活跃值: (213)
能力值: ( LV12,RANK:210 )
在线值:
发帖
回帖
粉丝
7
正常,就应该是这样的。IDA也是用dbghelp.dll的,这是这个dll里面操作symbol函数的行为,windbg,Visual Studio等也是用这个dll来操作symbol的,所以它们的行为是一致的。

BOOL WINAPI SymInitialize(
  _In_      HANDLE hProcess,
  _In_opt_  PCTSTR UserSearchPath,
  _In_      BOOL fInvadeProcess
);

UserSearchPath [in, optional]

    The path, or series of paths separated by a semicolon (;), that is used to search for symbol files. If this parameter is NULL, the library attempts to form a symbol path from the following sources:

        The current working directory of the application
        The _NT_SYMBOL_PATH environment variable
        The _NT_ALTERNATE_SYMBOL_PATH environment variable

    Note that the search path can also be set using the SymSetSearchPath function.
2012-10-29 14:38
0
雪    币: 107
活跃值: (399)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
8
学习了...最好楼主来个小工具方便下我们.
2012-10-29 14:49
0
游客
登录 | 注册 方可回帖
返回
//