IDA分析脱壳后丢失导入表的PE

于 2024-10-05 12:20:44 发布
阅读量49 收藏
点赞数
分类专栏： 笔记 文章标签： java javascript 数据库
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/m0_70960708/article/details/142713107
版权

1. 问题

一些程序经过脱壳后（如用OD的dump插件），一些导入表信息丢失了，导致拖入IDA后看不到API的信息(如右图所示，第一个红圈处实际是GetCurrentProcessId)，给分析造成极大影响。

​编辑  ​编辑

了解本专栏 订阅专栏 解锁全文 超级会员免费看
[网络安全自学篇] 七十九.Windows PE病毒原理、分类及感染方式详解
杨秀璋的专栏
05-20 1万+
这是作者网络安全自学教程系列，主要是关于安全工具和实践操作的在线笔记，特分享出来与博友们学习，希望您喜欢，一起进步。前文分享了XSS跨站脚本攻击案例，主要内容包括XSS原理、不同类型的XSS、XSS靶场9道题目、如何防御XSS。这篇文章将介绍Windows PE病毒， 包括PE病毒原理、分类及感染方式详解，并通过案例进行介绍。基础性文章，希望对您有所帮助~
IDA-函数信息分析-查找引用-导入表-导出表-反向定位-调整基地址
插件开发
10-13 4247
可以双击导入表选项进入，代码位置，再按Ctrl+X查看引用。Edit–>Segments–>Rebase Program改变基址。就可以得到函数参数形式，非常方便。如有疑问，敬请留言。
IDA调试遇到的问题
weixin_30487317的博客
07-18 694
jdb 不能附加到目标是因为 有的手机默认没开ro.debuggable，没有adb jdwp那个的 这样看到是0,本以为adb shell setprop ro.debuggable 1能修改 但是还是不行 后面鬼哥发了工具修改 结果提示手机不知道 三星的烂手机 转载于:https://www.cnblogs.com/Reserved/p/4044287.html...
IDA使用教程
qq_74041528的博客
08-25 8066
本文基于《IDA Pro权威指南（第2版）》整理的使用教程，供学习参考。
第三章——静态分析技术-IDA的简单操作
weixin_30340775的博客
11-22 280
注释：按“：”输入的注释只会在该处出现，按“；”的注释会在所有的交叉参考处出现 字符串搜索View->Open Subviews->String，此处字符串可与交叉引用结合使用 按ESC退后，Ctrl+Enter前进 重命名：N 标签的使用：菜单项Jump->Mark...
IDA使用之旅（一）用IDA查看最简单的sys文件
chenyujing1234的专栏
07-20 1万+
转载请标明是引用于 http://blog.youkuaiyun.com/chenyujing1234  欢迎大家拍砖!   本系列内容是我根据“知其所以然论坛”博主录制的学习视频，做的笔记。 使用的IDA软件版本： IDA.pro.5.5 （参考下载地址： http://www.pc6.com/softview/SoftView_55231.html） 下载后得到IDA.pro.5.5dapr
IDA 问题总结
王嘟嘟的博客
02-25 1790
0x00 前言 为了方便后来的人，所以特此做了总结 0x01 adb 1 Please check the confirmation dialog on your device. 手机允许调试即可。 2 error: device offline 出现原因： adb长时间闲置 解决方案1： adb kill-server adb start-server 我通...
ida使用技巧：ida python
m0_52164435的博客
03-14 5305
一、简介 ida python是ida中一个很强大的功能，早期需要另行下载，后来在6.8版本成为了内置插件，而在7.5版本更新后又对函数的命名进行了规范修整。 ida python官方提供了函数文档：https://www.hex-rays.com/wp-content/static/products/ida/support/idapython_docs/ IDC api函数文档：https://www.hex-rays.com/products/ida/support/idadoc/162.shtml 二
ida_haru:IDA Pro的scriptsplugins
05-01
ida_haru IDA Pro的脚本/插件 **注意：所有Python脚本仍然需要与IDA 6.95 bw兼容。 ** 在cfg / idapython.cfg中启用它： // Should the plugin automatically load a 6.95 bw-compatibility layer? AUTOIMPORT_COMPAT_IDA695 = YES eset_crackme 用于ESET CrackMe驱动程序VM的IDA Pro加载器/处理器模块 stackstring_static IDAPython脚本静态恢复堆栈中构造的字符串 fn_fuzzy IDAPython脚本，用于快速进行多个二进制差异分类 邦迪夫 用于BinDiff的多个二进制差异的python脚本 HexRaysDeob 修改版本以克服APT10 ANEL的代码混淆（位于）
IAT hook实现 (修改pe中的导入表实现hook)
&Ψ的博客
07-21 1561
IDA hook的编写 1. 实现hook的原理 在pe文件中有导入表，导入表中用函数名字和地址，我们把这个地址改变做到hook的效果。一下所有代码是32位的只使用了c语言 之前分析过导入表，本文不在分析只实现hook pe结构解析 实现所用到的Windows api //用于获取当前模块的基地址 GetModuleHandleA(NULL) HMODULE WINAPI GetModuleHandleA( _In_opt_ LPCSTR lpModuleName ); //用于修改内存属
IDA Pro基本简介
weixin_33711641的博客
11-20 2656
  IDA Pro基本简介 IDA加载完程序后，3个立即可见的窗口分别为IDA-View，Named，和消息输出窗口(output Window)。     IDA图形视图会有执行流，Yes箭头默认为绿色，No箭头默认为红色，蓝色表示默认下一个执行块。 在寄存器窗口中显示着每个寄存器当前的值和对应在反汇编窗口中的内存地址。函数在进入时都会保存堆栈地址EBP和ESP，退出函数时恢...
IDA2Obj 使用教程
最新发布
gitblog_00894的博客
09-03 642
IDA2Obj 使用教程 IDA2ObjStatic Binary Instrumentation项目地址:https://gitcode.com/gh_mirrors/id/IDA2Obj 项目介绍 IDA2Obj 是一个用于实现静态二进制插桩（SBI，Static Binary Instrumentation）的工具。其工作流程简单：直接从可执行二进制文件中转储对象文件（COFF），然后将这...
arm ida 伪代码 安卓 符号表_IDA 制作 sig文件 && gdb 导入符号表
weixin_42193786的博客
01-14 862
背景最近比赛遇到了一个题目, 32位静态链接去符号了. 所以用IDA分析的时候很多libc的库函数都无法识别, 就需要在 IDA 中引入 sig 文件. 从而可以识别诸如 read, write, malloc, free 这些库函数. 虽然网上已经有很多制作好的sig文件, 但是还是应该学会自己制作sig文件以备不时之需.有了 sig 文件后静态分析是没问题了, 但是动态调试的时候因为没有符号...
IDA Pro 7.5版本使用IDAPython
梦饮三千的博客
04-10 5052
IDA Pro 7.5版本下载 7.5版本的下载地址 下载之后直接运行那个绿化工具即可 另外，还需要配置一下api的问题，否则在调用api的时候会出问题 SegStart(ScreenEA(),SegEnd(ScreenEA()) 不配置执行时就会报错 配置参考在这里 官方给的配置方法在这里 配置方法： 在idapro路径下的cfg\idapython.cfg文件中修改 AUTOIMPORT_COMPAT_IDA695=YES ...
IDA基本使用
热门推荐
z786849296的博客
05-04 2万+
1.可以被IDA解析的文件包括.exe、.so、.o等格式。 ——打开方式：1.选择文件（代码如下），点ok。 （十进制转二进制，八进制代码） `#include<stdio.h> #include<math.h> int main() {int a,b,n; while(scanf("%d&a
3.IDA-数据显示窗口（导出窗口、导入窗口、String窗口、...窗口）
hgy413的专栏
07-11 9361
导出窗口 导出窗口列出文件的入口点。这包括程序的执行入口点（在程序的文件头部分指定），以及任何由文件导出给其他文件使用的函数和变量 0.对于exe来说，至少有一个导出函数，程序的执行入口点。IDA将这个入口点取名为start 导入窗口 导入窗口的功能与导出窗口的功能正好相反。它列出由被分析的二进制文件导入的所有函数。只有在二进制文件使用共享库时，IDA才需要
IDA静态脱壳教程：初学者入门实践指南
4. 脱壳流程详解：文章将详细介绍IDA中静态脱壳的步骤，包括如何定位壳的代码、如何分离壳与原始程序、如何修复被破坏的程序结构（例如IAT，即导入地址表）和API符号。 5. 实际案例分析：作者将以MSLRHv0.31a壳为例...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值