调试之前尽可能多地搜集信息,各种静态工具/行为监控工具能看到的特征都记一下,方便对应,有目的地调试
- 关注执行一个函数之后是否还在主线程内
- 如果有可见的元素,可以结合变化定位关键代码
列一下常用的可见元素:- 命令行的字符串输出
- UI界面的变化
- 进程创建(任务管理器或其他工具)
- 网络请求(wireshark/Network Monitor等工具)
- 把关键函数调用列出来,整理一个列表,可帮助理清思路,确认自己在哪儿
- 巧用虚拟机的快照功能,一些动态分配的地址可以保持不变
- 多想一下如果自己是作者,自己是怎么思路,猜然后验证会极大提高速度,猜不对不要气馁,继续分析即可
- 也可以拿python模拟自己的猜想,对比结果
- 自己搞不清流程的话,拿draw.io画流程图,梳理流程
- 根据api使用去猜测和定位很重要,比如VirtualAlloc可以用来定位内存独立代码位置
- 如果遇到系统dll调试,可以设置调试器,下载已知的pdb文件,会增加很多符号
- 调试器的调用堆栈和IDA的引用链可以很好地梳理逻辑
- 在IDA里,可以根据样本特征,应用对应的signature,增加很多已知函数符号标记,减少不必要工作量
有什么地方暂时不清楚或者发现了什么问题,用自己的符号标记,然后慢慢解决
多记多猜多验证
20190102
20201211
标签:逆向,符号,可以,---,工具,IDA,调试,调试器 来源: https://blog.csdn.net/xuqi7/article/details/111053217
本站声明: 1. iCode9 技术分享网(下文简称本站)提供的所有内容,仅供技术学习、探讨和分享; 2. 关于本站的所有留言、评论、转载及引用,纯属内容发起人的个人观点,与本站观点和立场无关; 3. 关于本站的所有言论和文字,纯属内容发起人的个人观点,与本站观点和立场无关; 4. 本站文章均是网友提供,不完全保证技术分享内容的完整性、准确性、时效性、风险性和版权归属;如您发现该文章侵犯了您的权益,可联系我们第一时间进行删除; 5. 本站为非盈利性的个人网站,所有内容不会用来进行牟利,也不会利用任何形式的广告来间接获益,纯粹是为了广大技术爱好者提供技术内容和技术思想的分享性交流网站。