首页
社区
课程
招聘
Windows内核私有符号结构转储
2021-9-3 17:24 7694

Windows内核私有符号结构转储

2021-9-3 17:24
7694

相当一部分windows内核结构体并不会出现在公有符号中
列如_DEBUG_OBJECT结构 该结构在windows公有符号中无法搜索

而实际上 该结构在win7 7600中为


typedef struct _DEBUG_OBJECT
{
        /* 0x0000 */ struct _KEVENT EventsPresent;
        /* 0x0018 */ struct _FAST_MUTEX Mutex;
        /* 0x0050 */ struct _LIST_ENTRY EventList;
        /* 0x0060 */ unsigned long Flags;
        /* 0x0064 */ long __PADDING__[1];
} DEBUG_OBJECT, *PDEBUG_OBJECT; /* size: 0x0068 */

使用windbg加载私有符号进行验证

同理还有更多结构体被隐藏 他们均不会出现在公共符号中 

如果用IDA加载私有符号 则情况如下(IDA伪代码未做任何修改 只是单纯的加载私有NT内核符号)

转储项目来源于pdbex (该项目转储自带部分BUG 对私有符号兼容性有一定问题 所以部分结构可能出现小差错)
如需其他内核驱动模块转储请留言 (github issuse或者此贴当中均可)
该项目github地址:https://github.com/DragonQuestHero/WindowsKernelPrivateSymbolsDump
考虑到可能会有更新的情况 帖子当中就不提供下载了 最终均以github最新版本为准


[CTF入门培训]顶尖高校博士及硕士团队亲授《30小时教你玩转CTF》,视频+靶场+题目!助力进入CTF世界

收藏
点赞5
打赏
分享
最新回复 (12)
雪    币: 4438
活跃值: (2304)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
Foodie 2021-9-3 17:45
2
0
雪    币: 6
活跃值: (2830)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
咖啡_741298 2021-9-3 18:36
3
1
没看懂怎么用的。 意思是 ntkrnlmp.pdb 里面已经有私有符号DEBUG_OBJECT结构,用这个工具能提取出来吗?  还是用这个工具从服务器上下载?
雪    币: 219
活跃值: (2537)
能力值: ( LV3,RANK:30 )
在线值:
发帖
回帖
粉丝
章鱼C 2021-9-3 20:21
4
0
咖啡_741298 没看懂怎么用的。 意思是 ntkrnlmp.pdb 里面已经有私有符号DEBUG_OBJECT结构,用这个工具能提取出来吗? 还是用这个工具从服务器上下载?
已经导出了 需要结构体可以直接在.h里面查询
雪    币: 3549
活跃值: (3955)
能力值: ( LV4,RANK:40 )
在线值:
发帖
回帖
粉丝
sonyps 2021-9-3 23:17
5
0
章鱼C 已经导出了 需要结构体可以直接在.h里面查询
怎么导出的呢,你有对应各个版本的系统私有版本的PDB?
雪    币: 6
活跃值: (2830)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
咖啡_741298 2021-9-4 01:46
6
0
章鱼C 已经导出了 需要结构体可以直接在.h里面查询
麻烦给个命令行啊,我命令行运行导出过,但是没有 DEBUG_OBJECT 结构
雪    币: 219
活跃值: (2537)
能力值: ( LV3,RANK:30 )
在线值:
发帖
回帖
粉丝
章鱼C 2021-9-4 12:22
7
0
sonyps 怎么导出的呢,你有对应各个版本的系统私有版本的PDB?
有一部分
雪    币: 219
活跃值: (2537)
能力值: ( LV3,RANK:30 )
在线值:
发帖
回帖
粉丝
章鱼C 2021-9-4 12:22
8
0
咖啡_741298 麻烦给个命令行啊,我命令行运行导出过,但是没有 DEBUG_OBJECT 结构
需要有私有PDB才行 公有是看不到的
雪    币: 3549
活跃值: (3955)
能力值: ( LV4,RANK:40 )
在线值:
发帖
回帖
粉丝
sonyps 2021-9-4 13:59
9
0
章鱼C 有一部分
可否共享下呢?
雪    币: 6
活跃值: (2830)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
咖啡_741298 2021-9-4 17:09
10
0
章鱼C 需要有私有PDB才行 公有是看不到的
请问私有PDB怎么下载? 第一次听说
雪    币: 219
活跃值: (2537)
能力值: ( LV3,RANK:30 )
在线值:
发帖
回帖
粉丝
章鱼C 2021-9-4 18:55
11
0
咖啡_741298 请问私有PDB怎么下载? 第一次听说
有渠道就能拿
雪    币: 219
活跃值: (2537)
能力值: ( LV3,RANK:30 )
在线值:
发帖
回帖
粉丝
章鱼C 2021-9-4 18:55
12
0
sonyps 可否共享下呢?
共享不出来...
雪    币: 897
活跃值: (5916)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
Alfik 2021-9-22 04:10
13
0
如果有調試符號,任何人都可以自己做。
https://github.com/horsicq/PDBRipper/releases/tag/2.01
游客
登录 | 注册 方可回帖
返回