-
-
[求助]IDA 如何将 call eax 寄存器形式的call和函数联系起来?
-
发表于: 2015-6-3 13:11
-
例如如下代码:
注意call esi这行,GetProcAddress不是我的注释,鼠标点上去可以看到函数原型的提示,IDA明确提示call esi相当于call GetProcAddress.
现在我遇到了一处这么一条指令:
call eax
通过动态调试得知eax调用的是CreateFileA
那么我怎么做到上图中的效果?
注意call esi这行,GetProcAddress不是我的注释,鼠标点上去可以看到函数原型的提示,IDA明确提示call esi相当于call GetProcAddress.
现在我遇到了一处这么一条指令:
call eax
通过动态调试得知eax调用的是CreateFileA
那么我怎么做到上图中的效果?
[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
挖个坟。这么多年过去了，不知道楼主解决没有，遗憾的是回复的各位大佬似乎没看懂楼主想要表达的内容。
call eax IDA当然猜不出来，通过动态调试得知此处为CreateFileA，问的是能否在反汇编窗口将其命名为CreateFileA来协助IDA自动分析。 如果楼主知道了希望回复分享下解决方案，感恩  。
|
|
|
我觉得那些大佬都看懂了，他们已经明确的告诉你了，不可以！ |
|
|
已经解决了，直接patch对应寄存器的值就行了。例如call eax，直接在前面eax赋值的时候mov eax,XXXXXX 函数地址，注意指令长度可能会破坏其他指令。我用的7.7可以直接右键反汇编（可能是插件），非常方便。
图片仅为举例，修改寄存器的数值后重新F5，看到的是正确的函数调用。 |
