首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 峰会 看雪商城 证书查询
  1. 社区
  2. 加壳脱壳
    3. 发新帖
[原创]IDA Python脚本半自动识别call dword[xxxx] jmp dword[xxxx]调用的系统函数
发表于: 2019-3-4 21:59 16187

[原创]IDA Python脚本半自动识别call dword[xxxx] jmp dword[xxxx]调用的系统函数

半个大西瓜 活跃值
2019-3-4 21:59
16187
平时分析静态Dump的时候容易遇到 FF 15 Call DWORD[xxxx] 和 FF 2C Jmp DWORD[xxxx]指令来调用系统函数，如果想知道调用的哪一个函数则要查具体的模块和导出函数，这个脚本就是半自动的重命名这些函数
用法：
1、修改脚本中外挂进程加载的模块路径和模块基址GetCurrentExportFunction("C:\\Windows\\SysWOW64\\ntdll.dll", 0x77b00000)
2、64位IDA还需要修改脚本GetCallAddr() GetJmpAddr()函数中的ida_bytes.get_dword为ida_bytes.get_qword
效果:

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课

上传的附件：
收藏
免费 ・1
支持
分享
最新回复 (8)
jgs
雪    币： 8924
活跃值： (5147)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
jgs
2 楼
楼主辛苦，ida用的少
2019-3-4 22:09
0
bbsshop
雪    币： 123
活跃值： (1675)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
3 楼
楼主辛苦+1
2019-3-5 10:36
0
xiaohang
雪    币： 2166
活跃值： (3226)
能力值： (RANK：260 )
在线值：
发帖
回帖
粉丝
私信
4 楼
谢谢分享
2019-3-5 11:53
0
petersonhz
雪    币： 2375
活跃值： (433)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
5 楼
jgs 楼主辛苦，ida用的少
你平时一般用od么？ida不是更强大么
2019-4-3 22:23
0
Second
雪    币： 608
活跃值： (91)
能力值： ( LV4，RANK：50 )
在线值：
发帖
回帖
粉丝
私信
6 楼
GetCurrentExportFunction("C:\\Windows\\SysWOW64\\ntdll.dll", 0x77b00000)
这个 0x77b00000  地址是怎么来的???
2019-4-11 14:40
0
wngbx
雪    币： 215
活跃值： (44)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
7 楼
谢谢分享,有python就强大
2020-11-30 11:49
0
半个大西瓜
雪    币： 1411
活跃值： (737)
能力值： ( LV3，RANK：20 )
在线值：
发帖
回帖
粉丝
私信
8 楼
Second GetCurrentExportFunction("C:\\Windows\\SysWOW64\\ntdll.dll", 0x77b00000) 这个 0x77b00000 地 ...
有进程快照，知道各个 模块的加载基址
2021-3-8 20:53
0
~时光荏苒
雪    币： 5291
活跃值： (4768)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
9 楼
不错!
2021-3-8 22:03
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回
//