-
-
[求助]用IDA pro 逆向驱动程序的疑惑
-
发表于:
2013-6-5 22:14
7473
-
看雪注册的比较早,至今刚刚转正,激动不已..
以前经常来看雪,不过以前没有研究逆向,一直在用编程语言写点小玩意,慢慢积累,终于,这一天,我感觉自己可以踏上逆向的征途了,困难是有,所以要找一个目标,我知道,只有奔着目标死磕才会进步,所以,我选了一个驱动程序,一是为了提高技术,二是为了看看它到底干了什么.....或许最后也会失败,但是那也是几个月的日夜后才说的话,在这里恳求逆向的朋友给我点思路,只要思路就可以,有下面几个问题:
1.由于是新手,用各种工具看了,驱动没有加壳,是vs2005或vs2008写的,但跟着IDA显示的入口一直跟下去,发现跳转到jmp dword ptr [edi+eax*4] 断了,这是不是说明代码是压缩的,压缩的意思就是需要程序跑起来后,跳转地址是解析出来的?而且上面有一大段貌似加花了,这个时候应该怎么办?大概有几种解决方案
2.要完全逆向一个驱动,有这种可能吗?
3.接着第一个问题,如果对程序做了手脚,IDA后面的分析会不会都是不对的?比如反汇编出来的诸如sub_0100001这类的函数是不是都是不正确的汇编代码?划分函数也不对?这个时候应该把精力放在找到合适的OEP还是怎么样?
望有过此类经验的朋友不惜赐教,在此谢谢了!!
[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入!