[原创]分享一个超简单的PDB解析库EasyPdb-逆向工程-看雪安全社区

github：
<a href="elink@7b9K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6w2N6$3q4F1M7%4V1&6z5q4)9J5c8V1g2S2M7%4W2b7k6r3t1`."><mark class="encrypted">4bdK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6w2N6$3q4F1M7%4V1&6z5q4)9J5c8V1g2S2M7%4W2b7k6r3t1`.</mark></a>

最近在写ARK工具，有使用未导出函数，访问某些内核结构的需求。github上有不少相关的库，如raw_pdb, pdbex等，但是里面很多功能我用不到，所以我自己封装了一个精简版的PDB解析库，可以很方便地下载PDB，获取全局变量和函数的RVA，以及获取结构体字段偏移。

![图片描述](upload/attach/202207/904137_KPGMGZQBZAYS7WG.png)

用法也是非常简单的，几个API看参数就能知道是干什么的：

```C
int test2()
{
	EZPDB pdb = { 0 };

#ifndef _AMD64_
	PVOID OldValue = NULL;
	Wow64DisableWow64FsRedirection(&OldValue);
#endif

// "http://msdl.blackint3.com:88/download/symbols/"
	DWORD dwError = EzInitPdb(&pdb, "C:\\Windows\\System32\\", "ntoskrnl.exe", TRUE, NULL, "D:\\symboldownload");

#ifndef _AMD64_
	Wow64RevertWow64FsRedirection(&OldValue);
#endif

if (dwError != 0)
	{
		printf("init pdb error: %x\n", dwError);
		return dwError;
	}

dwError = EzLoadPdb(&pdb);
	if (dwError != 0)
	{
		printf("load pdb error: %x\n", dwError);
		return dwError;
	}
	DWORD rva = 0;
	DWORD Offset = 0;
	if (EzGetRva(&pdb, "KeServiceDescriptorTable", &rva))
	{
		printf("KeServiceDescriptorTable: %x\n", rva);
	}

if (EzGetRva(&pdb, "PspTerminateThreadByPointer", &rva))
	{
		printf("PspTerminateThreadByPointer: %x\n", rva);
	}

if (EzGetOffset(&pdb, "_EPROCESS", L"ActiveProcessLinks", &Offset))
	{
		printf("_EPROCESS.ActiveProcessLinks: %x\n", Offset);
	}
	if (EzGetOffset(&pdb, "_ETHREAD", L"ThreadListEntry", &Offset))
	{
		printf("_ETHREAD.ThreadListEntry: %x\n", Offset);
	}

EzPdbUnload(&pdb);

return 0;
}
```

传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！！

#调试逆向 #系统底层

最新回复 (10)
ThanatosKer 雪币： 170 能力值： ( LV1，RANK：0 ) 在线值：发帖 6 回帖 40 粉丝 2 关注私信	ThanatosKer 2 楼菜鸟路过为啥地址不是 PspCreateProcessNotifyRoutine FFFFF80004038500 这样的而是 000000000021B500 这样的 2023-1-16 08:38 0
Oxygen1a1 雪币： 2867 活跃值： (6557) 能力值： ( LV3，RANK：30 ) 在线值：发帖 17 回帖 96 粉丝 91 关注私信	Oxygen1a1 3 楼 ThanatosKer 菜鸟路过为啥地址不是 PspCreateProcessNotifyRoutine FFFFF80004038500 这样的而是 000000000021B500 这样的[em_16] 加上Ntoskrnel的基质 2023-1-16 08:42 0
ThanatosKer 雪币： 170 能力值： ( LV1，RANK：0 ) 在线值：发帖 6 回帖 40 粉丝 2 关注私信	ThanatosKer 4 楼 Oxygen1a1 加上Ntoskrnel的基质谢谢我现在试一试 2023-1-16 16:58 0
ThanatosKer 雪币： 170 能力值： ( LV1，RANK：0 ) 在线值：发帖 6 回帖 40 粉丝 2 关注私信	ThanatosKer 5 楼 ntoskrnel+pdb 函数地址PspCreateProcessNotifyRoutine FFFFF80014085780 真实地址 PspCreateProcessNotifyRoutine FFFFF80004085780 咋办大佬 2023-1-16 18:04 0
ThanatosKer 雪币： 170 能力值： ( LV1，RANK：0 ) 在线值：发帖 6 回帖 40 粉丝 2 关注私信	ThanatosKer 6 楼 Oxygen1a1 加上Ntoskrnel的基质搞定了谢谢 2023-1-17 17:12 0
wx_ㅤ_863 雪币： 1 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 14 粉丝 0 关注私信	wx_ㅤ_863 7 楼为啥我这没有EZPDB这个结构体呀 2023-12-6 23:01 0
hambaga 雪币： 187 活跃值： (3936) 能力值： ( LV3，RANK：20 ) 在线值：发帖 6 回帖 94 粉丝 61 关注私信	hambaga 8 楼 wx_ㅤ_863 为啥我这没有EZPDB这个结构体呀我改了，可以参考github上面的demo 2023-12-8 09:47 0
Oxygen1a1 雪币： 2867 活跃值： (6557) 能力值： ( LV3，RANK：30 ) 在线值：发帖 17 回帖 96 粉丝 91 关注私信	Oxygen1a1 9 楼 hambaga 我改了，可以参考github上面的demo 上班摸鱼是吧 2023-12-8 09:50 0
hambaga 雪币： 187 活跃值： (3936) 能力值： ( LV3，RANK：20 ) 在线值：发帖 6 回帖 94 粉丝 61 关注私信	hambaga 10 楼 Oxygen1a1 上班摸鱼是吧[em_47] 2023-12-13 13:04 0
ThanatosKer 雪币： 170 能力值： ( LV1，RANK：0 ) 在线值：发帖 6 回帖 40 粉丝 2 关注私信	ThanatosKer 11 楼这个我一直在用 2026-1-28 23:55 1
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复