我也来无符号定位驱动入口
来源:互联网 发布:navicat连不上数据库 编辑:程序博客网 时间:2024/05/16 21:42
老是端着IDA扫射实在不爽,没有真实感,还是不时的debug验证下才好。。。。。
下面是总结的定位驱动入口的方法,方法还是网上的方法,只是不用每次人工找那条邪恶的call dword ptr[edi+2c] 了。。。
网上说的调试无符号驱动的方法:在IopLoadDriver+XXX的位置下断点:
xxx随系统不同版本而不同,每次自己拿眼睛找,很累很累,翻了下手册,发现有好命令可用,越来越发现windbg太过强大,只能用时现学了。。。
指令格式: # [Pattern] [Address [ L Size ]]
用来搜索汇编指令,windbg提供的这个功能还比较弱,不能直接搜索整条指令,只能这样搜了
在IopLoadDriver入口处开始,大小0x1000的范围内搜索 call [edi+2c]
kd> # "edi?2c" IopLoadDriver L 0x1000
nt!IopLoadDriver+0x684 [e:/wrk/base/ntos/io/iomgr/internal.c @ 4225]:
808ed3e6 ff572c call dword ptr [edi+2Ch]
nt!IopCloseFile+0x40 [e:/wrk/base/ntos/io/iomgr/objsup.c @ 156]:
808ef808 f6472c02 test byte ptr [edi+2Ch],2
nt!IopCloseFile+0x149 [e:/wrk/base/ntos/io/iomgr/objsup.c @ 265]:
808ef911 f6472c02 test byte ptr [edi+2Ch],2
nt!IopCloseFile+0x1b2 [e:/wrk/base/ntos/io/iomgr/objsup.c @ 313]:
还好不多,第一个就是call驱动入口了,接下来就是 bp 808ed3e6; g; s;进入DriverEntry
这是在wrk里哈哈,虽然看见源码的勾引了,但为了日常的没源码环境,我就当啥也没看见。。。
- 我也来无符号定位驱动入口
- 调试没有符号的驱动时如何断在入口点处
- 调试没有符号的驱动时如何断在入口点处
- 音频驱动入口点
- WinDbg下断驱动入口
- CMD&DOS入口及符号的作用
- 枚举驱动符号链接
- vb没法定位.dll函数入口点
- 加载地址 & 入口地址(重定位地址)
- 第一个驱动 入口 卸载分析
- 第二章 驱动入口DriverEntry概述
- 修改pe入口方式拦截驱动加载
- linux驱动入口函数module_init详解
- 内嵌驱动入口简单解释
- 调试无符号的驱动
- 驱动编程之“导出符号”
- 一个简单的NT驱动之驱动入口函数(DriverEntry)
- 分享我的thinkphp入口文件
- 同步调用和异步调用
- 编程之美解题报告1.2 将与帅 不对脸
- POJ_1230_Pass-Muraille
- 回调与异步机制
- C 语言的前世今生
- 我也来无符号定位驱动入口
- 27条搞笑短信
- 学java必须清楚的东西
- 量产 教你如何把U盘做成CD-ROM,以后装机可以不用带光盘和光驱0
- 典型J2EE系统架构图,该图为了自己使用而创建,如有什么不当的地方还请高手们指正,谢谢!
- basic_string::c_str() 与 basic_string::data() 区别
- 如何制作deb包
- 在eclipse中解决”Unsupported major.minor version 49.0“的一种方法
- 用log4j在日志文件里打印异常