-
-
[原创]「神器」不容错过！逆向调试好帮手：神算子偏移计算工具
-
发表于: 2018-12-11 22:11
-
「神器」调试好帮手：神算子偏移计算工具
by anhkgg
2018年12月11日
0x01.写在前面
做逆向调试的小伙伴应该都遇到过这种问题：在同时使用两大神器OD(或Windbg)和IDA逆向某程序时，调试中模块基址经常变化，而在IDA中默认为0x400000（或0x10000000），所以在调试到某个点想到IDA整体对比分析一下的时候，发现计算地址真的好麻烦，特别时在经常需要计算的时候，这个问题尤为明显。
通常步骤是：
- 打开calc.exe，切换到程序员项
- 复制当前地址0xD60F00D，复制模块基址0x5200000，算出偏移0x840f00d
- 复制IDA中对应模块基址0x10000000，加上刚才的偏移得到对应在IDA中地址，g跳转到对应地址
- 下次又要算一次，重复复制基址，减偏移，加偏移，如此往复。
烦不烦，累不累？不要急，上帝给了一束光，它来了！
0x02. 神奇工具
为了解决上面的问题，我其实思量了很久要写个小工具的，但总是耽搁着。终于，最近还是把它弄出来了。
用上它之后，速度七十迈，调试好能耐。
先看看它的美颜，质朴中带着机灵，机灵中特着小调皮......
特色功能
- 支持回车快速计算
- 支持windbg 64位地址格式，如00007ff6`6cbe825b
- 支持多窗口多模块计算
- 支持32位、64位地址
- 自动判断是否为16进制数据，支持0x，h标记，如果是12345之类纯数字无法判断，最好直接勾选16进制选框
- 支持10进制和16进制快速转换（也支持回车快速计算哦！）
描述一次典型使用场景：
- 复制调试中模块基址粘贴到基址(调试)框
- 复制IDA中模块基址粘贴到基址(IDA)框
- 复制调试中某地址粘贴到地址1（或地址2）
- 回车，得到对应IDA中地址1（或地址2）以及偏移1（或偏移2）
- 再次计算该模块其他地址，只需要重复3、4即可
- 如果从IDA地址计算到调试中，复制IDA地址到对应地址框，回车即可
- 如果还需要计算其他模块地址转换，点+按钮新增窗口，重复1-6即可
- 如果开窗口太多，在模块标记栏填入模块名字，防止混乱出错
这样一对比，可以想见效率高了多少，调试中心情舒畅多少。
心动了吗？赶紧拿起电话......
下载吧！
如有bug、意见和建议，欢迎反馈！反馈群：753894145。
广告：欢迎关注公众号汉客儿或QQ群（753894145），一起交流学习
最后于 2018-12-11 22:12
被anhkgg编辑
，原因：
|
|
|---|---|
|
|
|
|
|
笑喷. 
|
|
|
哈哈，因为有些时候文件大，改IDA基址很慢，所以不喜欢这样 另外，每次调试中基址变化，又得改，所以也不喜欢 另外，谢风神回复 |
|
|
我也笑喷 |
|
|
|
|
|
你还写个exe,不会顺手写个IDA插件?尴尬了. 
|
|
|
话说回来除了chrome之外还没见过单个文件上百M的,大佬应该见过.
最后于 2018-12-11 23:07
被猪会被杀掉编辑
，原因：
|
|
|
不会，大佬来？ |
|
|
感觉没那必要,非常必要我一定会写的;另外,我写过ida插件,没在pediy发表过. |
|
|
|
|
|
|
|
|
有道理，那写个通用工具也没什么大问题吧，大佬 |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
是的 |
|
|
|
|
|
|
|
|
|
|
|
既然都通用了，不开源一下吗？？？ 
|
|
|
根据大佬们的反应，东西貌似太low了，所以更不敢开源献丑了 只能用做自己私用的小工具了 |
