首页
社区
课程
招聘
[求助]用IDA pro 逆向驱动程序的疑惑
发表于: 2013-6-5 22:14 7473

[求助]用IDA pro 逆向驱动程序的疑惑

2013-6-5 22:14
7473
看雪注册的比较早,至今刚刚转正,激动不已..
  以前经常来看雪,不过以前没有研究逆向,一直在用编程语言写点小玩意,慢慢积累,终于,这一天,我感觉自己可以踏上逆向的征途了,困难是有,所以要找一个目标,我知道,只有奔着目标死磕才会进步,所以,我选了一个驱动程序,一是为了提高技术,二是为了看看它到底干了什么.....或许最后也会失败,但是那也是几个月的日夜后才说的话,在这里恳求逆向的朋友给我点思路,只要思路就可以,有下面几个问题:
1.由于是新手,用各种工具看了,驱动没有加壳,是vs2005或vs2008写的,但跟着IDA显示的入口一直跟下去,发现跳转到jmp dword ptr [edi+eax*4] 断了,这是不是说明代码是压缩的,压缩的意思就是需要程序跑起来后,跳转地址是解析出来的?而且上面有一大段貌似加花了,这个时候应该怎么办?大概有几种解决方案
2.要完全逆向一个驱动,有这种可能吗?
3.接着第一个问题,如果对程序做了手脚,IDA后面的分析会不会都是不对的?比如反汇编出来的诸如sub_0100001这类的函数是不是都是不正确的汇编代码?划分函数也不对?这个时候应该把精力放在找到合适的OEP还是怎么样?
望有过此类经验的朋友不惜赐教,在此谢谢了!!

[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入!

收藏
免费 0
支持
分享
最新回复 (3)
雪    币: 160
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
2
1.有点类似于函数表,EDI是基址,EAX是索引,4=sizeof(PVOID) [32bit]
2013-6-5 23:01
0
雪    币: 37
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
3
[QUOTE=sidyh;1185136]1.有点类似于函数表,EDI是基址,EAX是索引,4=sizeof(PVOID) [32bit][/QUOTE]

您指的函数表是地址吗?什么语言编译会出现函数表?还是手动添加的,不是很明白,能再详细介绍一下函数表吗,以前没有接触过,谢谢这位朋友了

哦,我大概知道了.是不是对每个函数的调用,在代码最后,编译器自动加上类似jmp [xxxxxxxx]这样的指令,这些指令顺序组成一个函数表.是这样吗?
2013-6-5 23:14
0
雪    币: 160
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
4
有的编译器在生成代码时会出现你刚开始说的问题,比如你在switch中写了一堆case且条件连续。
大体而言,你可以理解为一块内存区域中连续存放着函数指针,而执行哪一块指令与index有密切关系。
而你后来说的问题,是导入表的范畴,是API的调用特点(外部函数),属于PE格式内容。
2013-6-10 23:42
0
游客
登录 | 注册 方可回帖
返回
//