<![CDATA[Yas Kernel Debugger]]> http://hi.baidu.com http://hi.baidu.com http://img.baidu.com/img/logo-hi.gif http://hi.baidu.com/sysnap zh-cn www.baidu.com 5 <![CDATA[对象名字劫持，如何隐藏IRP DISPATCH HOOK]]> 翻看大学写的代码，发现一段XXX代码，遂写成篇简单文章。
驱动程序中通过一个驱动对象名来获取对应的驱动对象通常是调用ObReferenceObjectByName，ObReferenceObjectByName的声明如下

NTSTATUS

ObReferenceObjectByName (

    __in PUNICODE_STRING ObjectName,

    __in ULONG Attributes,

    __in_opt PACCESS_STATE AccessState,

    __in_opt ACCESS_MASK DesiredAccess,

    __in POBJECT_TYPE ObjectType,

    __in KPROCESSOR_MODE AccessMode,

    __inout_opt PVOID ParseContext,

    __out PVOID *Object

    )

对象管理器就会根据ObjectName去遍历对应对象目录下的所有对象，看哪些对象的名字跟ObjectName匹配。那驱动对象的名字是存储在哪里呢？答案就是在

OBJECT_HEADER_NAME_INFO里面。

typedef struct _OBJECT_HEADER_NAME_INFO {

    POBJECT_DIRECTORY Directory;   //对象所属的路径

    UNICODE_STRING Name;//对象名

    ULONG QueryReferences;

} OBJECT_HEADER_NAME_INFO, *POBJECT_HEADER_NAME_INFO;

 

那这样修改对象名，那通过ObReferenceObjectByName就无法获取到正确的驱动对象了。下面介绍如何隐藏IRP DISPATCH HOOK。

 

1) 调用ObReferenceObjectByName获取\FileSystem\ntfs对应的驱动对象的指针pDrvObj

2）替换掉你想要替换的DISPACTH指针

3）修改\FileSystem\ntfs这个名字

OBJECT_HEADER* lpObjectHeader = NULL;

POBJECT_HEADER_NAME_INFO lpObjectNameInfo = NULL;

UNICODE_STRING uniXX;

RtlInitUnicodeString (&uniXX, L"Hello 123");

RtlCopyUnicodeString(&pDrvObj->DriverName,&uniXX);

lpObjectHeader = OBJECT_TO_OBJECT_HEADER(pDrvObj);

lpObjectNameInfo = (POBJECT_HEADER_NAME_INFO)((DWORD)lpObjectHeader - (DWORD)lpObjectHeader->NameInfoOffset);

        RtlCopyUnicodeString(&lpObjectNameInfo->Name,&uniXX);

4) 保存好原来的驱动对象信息

RtlCopyMemory(&pDrvObject,pDrvObj,sizeof(DRIVER_OBJECT));

5）用IoCreateDriverc创建一个同名的驱动对象，初始化DISPACTH指针为原始指针

NTKERNELAPI

NTSTATUS

IoCreateDriver(

    __in_opt PUNICODE_STRING DriverName,

    __in PDRIVER_INITIALIZE  DriverEntry

    );

 

任务完成。

阅读全文
类别：默认分类 查看评论]]> 2012年02月11日 星期六 22:37 http://hi.baidu.com/sysnap/blog/item/f28c62fe83c0942e5d60081a.html <![CDATA[WINDBG扩展应用 - 统计源代码行数]]>

下面的代码比较简单，能实现下面俩个功能

1）代码行数统计,只需要PDB就可以，而且统计出来的行数是有效行数，那些空行的不包括在内。

2）函数的局部变量占用空间统计，对驱动程序来讲，堆栈是宝贵资源。

HRESULT
SymGetFunctionInfo(
    IN PCSTR FunctionName, 
    OUT ULONG64 *Offset, 
    OUT ULONG *Size,
    OUT ULONG *Locals, OPTIONAL
    OUT ULONG *Params, OPTIONAL
    OUT ULONG *cbFrame, OPTIONAL
    OUT BOOLEAN *fHasSEH OPTIONAL
    )
{


    HRESULT hr = S_FALSE;
    ULONG  Type = 0;
    ULONG64 tmpOffset = 0;
    FPO_DATA Fpo = { 0 };
    IMAGE_FUNCTION_ENTRY FucEntry = { 0 };

    if( FunctionName == NULL || Offset == NULL || Size == NULL )
        goto __EXIT0;

    hr = gDpVar.Control->GetActualProcessorType(&Type);
    if( FAILED( hr ) )
        goto __EXIT0;

    hr = SymGetOffset(FunctionName, &tmpOffset);
    if( FAILED( hr ) )
        goto __EXIT0;

    if( Type == IMAGE_FILE_MACHINE_I386 )
    {
        hr = gDpVar.Symbols3->GetFunctionEntryByOffset(tmpOffset,
            DEBUG_GETFNENT_DEFAULT,
            (PVOID)&Fpo,
            sizeof(Fpo),
            NULL
            );
        if( FAILED( hr ) )
            goto __EXIT0;

        *Offset = tmpOffset;
        *Size = Fpo.cbProcSize;

        if( Locals )
            *Locals = Fpo.cdwLocals;
        if( Params )
            *Params = Fpo.cdwParams;
        if( cbFrame )
            *cbFrame = Fpo.cbFrame;
        if( fHasSEH )
            *fHasSEH = Fpo.fHasSEH;

    }else
    {
        hr = gDpVar.Symbols3->GetFunctionEntryByOffset(tmpOffset,
            DEBUG_GETFNENT_DEFAULT,
            (PVOID)&FucEntry,
            sizeof(FucEntry),
            NULL
            );
        if( FAILED( hr ) )
            goto __EXIT0;
        *Offset = tmpOffset;
        *Size = (ULONG)(FucEntry.EndingAddress - FucEntry.StartingAddress);
    }

__EXIT0:
    return hr;


}

HRESULT
SymGetFunctionLineInfoByName(
    IN PCSTR FunctionName, 
    OUT ULONG *StartLine,
    OUT ULONG *EndLine
    )
{
    HRESULT hr = S_FALSE;
    ULONG64 StartOffset = 0, EndOffset = 0;
    ULONG Size = 0;

    if( FunctionName == NULL || StartLine == NULL || EndLine == NULL )
        goto __EXIT0;

    hr = SymGetFunctionInfo(FunctionName, &StartOffset, &Size, NULL, NULL, NULL, NULL);
    if( FAILED( hr) )
        goto __EXIT0;

    EndOffset = (ULONG64)Size + StartOffset - 1; // make sure

    hr = gDpVar.Symbols->GetLineByOffset(StartOffset, StartLine, NULL, 0, NULL, NULL);
    if( FAILED( hr) )
        goto __EXIT0;

    hr = gDpVar.Symbols->GetLineByOffset(EndOffset, EndLine, NULL, 0, NULL, NULL);


__EXIT0:
    return hr;
}

使用
    ULONG StartLine = 0, EndLine = 0;
    SymGetFunctionLineInfoByName("SysPrj!KernelTimeToSystemTime", &StartLine, &EndLine);

枚举程序PDB所有函数，调用SymGetFunctionLineInfoByName则可以。如果你想把那些全局变量之类占用的行数也统计出来，那可以用
    //
    //获取整页代码的行信息
    //

    PDEBUG_SYMBOL_SOURCE_ENTRY  pEntries = NULL;
    hr = gDpVar.Symbols3->GetSourceEntriesByLine(1, FileBuffer, DEBUG_GSEL_ALLOW_HIGHER ,
        NULL,
        0,
        &EntriesAvail
        );
    if( FAILED( hr ) )
    {
        ;
    }

    pEntries = new DEBUG_SYMBOL_SOURCE_ENTRY[EntriesAvail];
    hr = gDpVar.Symbols3->GetSourceEntriesByLine(1, FileBuffer, DEBUG_GSEL_ALLOW_HIGHER ,
        pEntries,
        EntriesAvail,
        NULL
        );
    if( FAILED( hr ) )
    {
        ;
    }
    
    for( int j = 0; j < EntriesAvail; j++ )
    {
        printf("Lines = %d-%d    ModuleBase = 0x%I64x Offset = 0x%I64x Size = %d \n", 
            pEntries[j].StartLine, 
            pEntries[j].EndLine , 
            pEntries[j].ModuleBase & 0xffffffff,
            pEntries[j].Offset & 0xffffffff,
            pEntries[j].Size);
    }
    

阅读全文
类别：默认分类 查看评论]]> 2012年02月07日 星期二 14:43 http://hi.baidu.com/sysnap/blog/item/fa54562ace422284023bf674.html <![CDATA[NDIS层如何实现PING]]> 以前做流量控制的时候需要用到PING,因为精确的流量控制在每建立一条TCP链接的时候，需要PING一下获取数据包的返回时间。（需要了解下TCP/IP协议）
#include "precomp.h"
#include "packet.h"
#pragma hdrstop



#pragma pack(1)//内存对齐,使内存紧凑

/* IPv4 header structure */
typedef struct _IPv4_HEADER
{
    unsigned char IHL:4;
    unsigned char Version:4;
    unsigned char TOS;
    unsigned short Length;
    unsigned short Id;
    unsigned short FragFlags;
    unsigned char TTL;
    unsigned char Protocol;
    unsigned short Checksum;
    unsigned int SrcAddress;
    unsigned int DstAddress;
} IPv4_HEADER, *PIPv4_HEADER;

/* ICMP echo request/reply header structure */
typedef struct _ICMP_HEADER
{
    unsigned char Type;
    unsigned char Code;
    unsigned short Checksum;
    unsigned short Id;
    unsigned short SeqNum;
} ICMP_HEADER, *PICMP_HEADER;

typedef struct _ICMP_ECHO_PACKET
{
    ICMP_HEADER Icmp;
    LARGE_INTEGER Timestamp; //从这里开始是数据
    PTCP_CONNECTIONINFO_IPV4 ConnectionInfo;
} ICMP_ECHO_PACKET, *PICMP_ECHO_PACKET;


typedef struct __ICMP_ECHOPACKET
{
    EtherHeader  EthernetHeader;
    IPV4HEADER IpHeader;
    ICMP_ECHO_PACKET IcmpEchoHeader;
}ICMPECHOPACKET, *PICMPECHOPACKET;

#pragma pack()

NTSTATUS
inNdisSendIcmpEchoRequestMsg(
    IN NDIS_HANDLE  AdapterContext,
    IN ULONG SrcIp, //网络顺序
    IN ULONG DstIp,
    IN UCHAR EtherSrcMacAddress[], //6
    IN UCHAR EtherDstMacAddress[])
{
    PICMPECHOPACKET IcmpEchoPacket;

    
    if (((PADAPT)AdapterContext)->MPDeviceState > NdisDeviceStateD0)
    {
        return NDIS_STATUS_FAILURE;
    }
    IcmpEchoPacket = ExAllocatePoolWithTag(NonPagedPool, sizeof(ICMPECHOPACKET), 'ICMP');
    if(IcmpEchoPacket)
    {
        RtlZeroMemory(IcmpEchoPacket, sizeof(ICMPECHOPACKET));
        //
        //Fill ethernet header
        //
        RtlCopyMemory(&IcmpEchoPacket->EthernetHeader.ether_src, EtherSrcMacAddress, 6);
        RtlCopyMemory(&IcmpEchoPacket->EthernetHeader.ether_dst, EtherDstMacAddress, 6);
        IcmpEchoPacket->EthernetHeader.ether_type = htons(NDIS_ETH_TYPE_IPV4);
        //
        //Fill ip header
        //
        IcmpEchoPacket->IpHeader.ip_v = 4;
        IcmpEchoPacket->IpHeader.ip_hl = 5; // 一般是5
        IcmpEchoPacket->IpHeader.ip_tos = 0; //一般为0
        IcmpEchoPacket->IpHeader.ip_len = htons(sizeof(struct ip_hdr) + sizeof(ICMP_ECHO_PACKET)); //我们没有带数据的
        IcmpEchoPacket->IpHeader.ip_id = 0;            // XXX make it something meaningful
        IcmpEchoPacket->IpHeader.ip_off = 0;
        IcmpEchoPacket->IpHeader.ip_ttl = 64;        //或许从注册表取得该值，一般是64或者128
        IcmpEchoPacket->IpHeader.ip_p = IPPROTO_ICMP;
        IcmpEchoPacket->IpHeader.ip_sum = 0;            // for checksum calculation
        IcmpEchoPacket->IpHeader.ip_src = SrcIp;
        IcmpEchoPacket->IpHeader.ip_dst = DstIp;
        IcmpEchoPacket->IpHeader.ip_sum = __Checksum((USHORT*)&IcmpEchoPacket->IpHeader, 20) ;
        //
        //Fill IcmpEchoHeader
        //
        #define ICMPMSG_ECHOREQUEST 8
        IcmpEchoPacket->IcmpEchoHeader.Icmp.Type     = ICMPMSG_ECHOREQUEST;
        IcmpEchoPacket->IcmpEchoHeader.Icmp.Code     = 0;
        IcmpEchoPacket->IcmpEchoHeader.Icmp.Id       = (USHORT)2;
        IcmpEchoPacket->IcmpEchoHeader.Icmp.SeqNum   = htons((USHORT)0xeedd);
        IcmpEchoPacket->IcmpEchoHeader.Icmp.Checksum = 0;
        KeQueryTickCount(&IcmpEchoPacket->IcmpEchoHeader.Timestamp);
        IcmpEchoPacket->IcmpEchoHeader.Icmp.Checksum = __Checksum((PUSHORT)&IcmpEchoPacket->IcmpEchoHeader.Icmp, 
            sizeof(ICMP_ECHO_PACKET));

        DbgPrint("Send Ping TimeStamp = 0x%I64d\n", IcmpEchoPacket->IcmpEchoHeader.Timestamp.QuadPart);
        return SendPacket2(AdapterContext, (PUCHAR)IcmpEchoPacket, sizeof(ICMPECHOPACKET));

    }
    
    return STATUS_SUCCESS;
}


typedef VOID (*__IcmpReplyCallback)( 
    IN PVOID Packet, 
    IN PVOID Context1, 
    IN PVOID Context2);


//
//NET IN
//
VOID IcmpReplyCallBack(
    IN PVOID Packet)
{
    struct ether_hdr *Etheader= NULL;
    struct ip_hdr *IpHeader = NULL;
    ICMP_HEADER *IcmpHeader = NULL;
    Etheader = (struct ether_hdr *)Packet;
    IpHeader = (struct ip_hdr *)(Etheader + 1);
    IcmpHeader = (ICMP_HEADER*)( (PUCHAR)IpHeader + ((IpHeader->ip_hl & 0x0F)<<2) );

    if( IcmpHeader->Type == 0 && IcmpHeader->SeqNum == htons(0xeedd) )
    {
        LARGE_INTEGER CurTimestamp;
        PICMP_ECHO_PACKET echoPacket = (PICMP_ECHO_PACKET)IcmpHeader;
        CurTimestamp.QuadPart = KeQueryInterruptTime();
        if( echoPacket->ConnectionInfo )
        echoPacket->ConnectionInfo->RoundTime = CurTimestamp.QuadPart - echoPacket->Timestamp.QuadPart;
    }


}

NTSTATUS
NdisSendIcmpEchoRequestMsg(
    IN NDIS_HANDLE  AdapterContext,
    IN ULONG SrcIp, //网络顺序
    IN ULONG DstIp,
    IN UCHAR EtherSrcMacAddress[], //6
    IN UCHAR EtherDstMacAddress[],
    IN PVOID ConnectionInfo)
{
    PICMPECHOPACKET IcmpEchoPacket;


    if (((PADAPT)AdapterContext)->MPDeviceState > NdisDeviceStateD0)
    {
        return NDIS_STATUS_FAILURE;
    }
    IcmpEchoPacket = ExAllocatePoolWithTag(NonPagedPool, sizeof(ICMPECHOPACKET), 'ICMP');
    if(IcmpEchoPacket)
    {
        RtlZeroMemory(IcmpEchoPacket, sizeof(ICMPECHOPACKET));
        //
        //Fill ethernet header
        //
        RtlCopyMemory(&IcmpEchoPacket->EthernetHeader.ether_src, EtherSrcMacAddress, 6);
        RtlCopyMemory(&IcmpEchoPacket->EthernetHeader.ether_dst, EtherDstMacAddress, 6);
        IcmpEchoPacket->EthernetHeader.ether_type = htons(NDIS_ETH_TYPE_IPV4);
        //
        //Fill ip header
        //
        IcmpEchoPacket->IpHeader.ip_v = 4;
        IcmpEchoPacket->IpHeader.ip_hl = 5; // 一般是5
        IcmpEchoPacket->IpHeader.ip_tos = 0; //一般为0
        IcmpEchoPacket->IpHeader.ip_len = htons(sizeof(struct ip_hdr) + sizeof(ICMP_ECHO_PACKET)); //我们没有带数据的
        IcmpEchoPacket->IpHeader.ip_id = 0;            // XXX make it something meaningful
        IcmpEchoPacket->IpHeader.ip_off = 0;
        IcmpEchoPacket->IpHeader.ip_ttl = 64;        //或许从注册表取得该值，一般是64或者128
        IcmpEchoPacket->IpHeader.ip_p = IPPROTO_ICMP;
        IcmpEchoPacket->IpHeader.ip_sum = 0;            // for checksum calculation
        IcmpEchoPacket->IpHeader.ip_src = SrcIp;
        IcmpEchoPacket->IpHeader.ip_dst = DstIp;
        IcmpEchoPacket->IpHeader.ip_sum = __Checksum((USHORT*)&IcmpEchoPacket->IpHeader, 20) ;
        //
        //Fill IcmpEchoHeader
        //
#define ICMPMSG_ECHOREQUEST 8
        IcmpEchoPacket->IcmpEchoHeader.Icmp.Type     = ICMPMSG_ECHOREQUEST;
        IcmpEchoPacket->IcmpEchoHeader.Icmp.Code     = 0;
        IcmpEchoPacket->IcmpEchoHeader.Icmp.Id       = (USHORT)2;
        IcmpEchoPacket->IcmpEchoHeader.Icmp.SeqNum   = htons((USHORT)0xeedd);
        IcmpEchoPacket->IcmpEchoHeader.Icmp.Checksum = 0;
        IcmpEchoPacket->IcmpEchoHeader.Timestamp.QuadPart = KeQueryInterruptTime();
        IcmpEchoPacket->IcmpEchoHeader.ConnectionInfo = ConnectionInfo;
        IcmpEchoPacket->IcmpEchoHeader.Icmp.Checksum = 
            __Checksum((PUSHORT)&IcmpEchoPacket->IcmpEchoHeader.Icmp, sizeof(ICMP_ECHO_PACKET));

        return SendPacket2(AdapterContext, (PUCHAR)IcmpEchoPacket, sizeof(ICMPECHOPACKET));

    }

    return STATUS_SUCCESS;
}

NDIS_STATUS SendPacket2( IN NDIS_HANDLE MiniportAdapterContext,
                         IN PUCHAR pPacketBuff, 
                         IN UINT uPacketSize)
{
    NDIS_STATUS  status = NDIS_STATUS_SUCCESS;
    NDIS_PHYSICAL_ADDRESS HighestAcceptableAddress;
    PVOID  VirtualAddress = NULL;
    PNDIS_BUFFER pNdisPacketBuffer = NULL;
    PSEND_RSVD      SendRsvd = NULL;
    PNDIS_PACKET pNewPacket = NULL;
    PADAPT              pAdapt = (PADAPT)MiniportAdapterContext;
    if( pAdapt == NULL || pPacketBuff == NULL )
        return 0;

    NdisAllocatePacket(&status, &pNewPacket, pAdapt->SendPacketPoolHandle);
    if(status != NDIS_STATUS_SUCCESS)
    {
        DbgPrint("SendPacket2 -> NdisAllocatePacket failed\n");
        return status;
    }


    HighestAcceptableAddress.QuadPart = -1;
    status = NdisAllocateMemory( &VirtualAddress, uPacketSize, 0, HighestAcceptableAddress );
    if(status != NDIS_STATUS_SUCCESS)
    {
        return status;
    }

    NdisAllocateBuffer( &status, 
        &pNdisPacketBuffer, 
        pAdapt->SendPacketPoolHandle, 
        VirtualAddress, 
        uPacketSize);
    if (NDIS_STATUS_SUCCESS != status) 
    {
        NdisFreeMemory(VirtualAddress, uPacketSize, 0);
        return status;
    }

    NdisMoveMemory( VirtualAddress, pPacketBuff, uPacketSize );
    NdisChainBufferAtFront(pNewPacket, pNdisPacketBuffer );
    SendRsvd = (PSEND_RSVD)(pNewPacket->ProtocolReserved); 
    SendRsvd->OriginalPkt = NULL; //这样当发送包返回NDIS_STATUS_PENDING时需要在PtSendComplete释放相关资源时，通过判断
    // SendRsvd->OriginalPkt来确定是否我们构造的数据包。

    pNewPacket->Private.Head->Next=NULL; 
    pNewPacket->Private.Tail=NULL;

    NdisSetPacketFlags(pNewPacket, NDIS_FLAGS_DONT_LOOPBACK);

    //DbgPrint("NdisSend  ACK \n");

    NdisSend(&status, pAdapt->BindingHandle, pNewPacket);
    //DbgPrint("NdisSend  ACK status = 0x%x\n", status);

    if(status != NDIS_STATUS_PENDING)
    {
        UINT uSendBufferLen;
        PVOID pSendPacketBuffer = NULL;
        NdisUnchainBufferAtFront(pNewPacket, &pNdisPacketBuffer); 

        NdisQueryBufferSafe(pNdisPacketBuffer, 
            (PVOID *)&pSendPacketBuffer, 
            &uSendBufferLen, 
            HighPagePriority );

        NdisFreeBuffer(pNdisPacketBuffer); 
        NdisFreeMemory(pSendPacketBuffer, uSendBufferLen, 0); 
        NdisFreePacket(pNewPacket);

    }

    return status;

}

阅读全文
类别：默认分类 查看评论]]> 2012年02月03日 星期五 11:43 http://hi.baidu.com/sysnap/blog/item/ef37a71fc83dd5d7a68669f4.html <![CDATA[WINDBG内核调试，进程启动时在其入口点断下]]>

阅读全文
类别：默认分类 查看评论]]> 2012年02月02日 星期四 16:45 http://hi.baidu.com/sysnap/blog/item/532d16eecdf43b362cf534e0.html <![CDATA[拦截PRC/LPC不能随便返回状态码]]> *** An Access Violation occurred in C:\Windows\system32\services.exe:
 
The instruction at 76EE32CC tried to write to a NULL pointer
 
 *** enter .exr 00BCF5B0 for the exception record
 ***  enter .cxr 00BCF5CC for the context
 *** then kb to get the faulting stack
 
Break instruction exception - code 80000003 (first chance)
ntdll!DbgBreakPoint:
001b:774e7dfe cc              int     3
 
kd> u 76ee32cc
RPCRT4!RpcpStrictAlpcToRpcStatus+0x13:
76ee32cc 890d00000000    mov     dword ptr ds:[0],ecx
76ee32d2 b8e6060000      mov     eax,6E6h
 
而RPC只接受下面的固定错误返回值
kd> dd 76430750
76430750  00000000 00000000 c0000037 000006be
76430760  c0000703 000006be c0000017 0000000e
76430770  c0000040 0000000e c0000097 0000000e
76430780  c000009a 0000000e c00000a1 0000000e
76430790  c0000007 0000000e c000012d 0000000e

764307a0  c0000702 000006be c0000022 000006be

另外拒绝也不能简单返回DENY

阅读全文
类别：默认分类 查看评论]]> 2012年02月02日 星期四 16:31 http://hi.baidu.com/sysnap/blog/item/70bafb31a882b206eac4af15.html <![CDATA[解决问题的基本态度和方法]]> 技术上有时会碰到一些问题，遂总结成几条（纯粹个人看法）。为什么它是个问题？你从什么角度觉得它是个问题。

基本态度：

1）不要试图同时去解决所有问题，找出最基本最迫切的。

2）用最高效简单的办法解决80%的问题而不是100%的问题。

3）解决问题之前先确认是不是自己的问题。

4）不是所有问题都能给出一个答案，有些问题的答案可遇不可求。

5）怎样做可以减少错误又能满足需求，而不是去解决所有可能的问题。

6）一件事，做了80%没做到100%并不代表就没做，不能有完美主义和理想主义情结。

7）一种解决办法可能会同时引入一些其他问题，有的时候只能这样。

7）学会放弃。

 

基本方法：

定义: 为混乱定义规则，使变得简单。

替代：衡量代价，找出最高效的解决办法。

规避：只需要知道怎样做可以减少错误又能满足需求。

转移：转移矛盾，在云查杀还没出来之前，可能木马们大多不会去断网。

排除: 缩小问题的范围。

放弃：有许多事受到客观的限制，不可行的，暂时不能解决的，采用上面办法也无法解决的，放弃。


阅读全文
类别：默认分类 查看评论]]> 2012年01月15日 星期日 15:39 http://hi.baidu.com/sysnap/blog/item/a4b28846d28b73176a63e549.html <![CDATA[防护的一些简单个人总结]]> 1）不对称对抗

比如应用层跟应用层，驱动跟驱动对抗，那任意一方显然没有优势。安全的软件的优势就是: 先进入用户系统，进入内核，占据入口优势。所以应该坚守好这些优势。

2）信任关系

信任的单位越大，风险越大，处理逻辑也会越复杂。部分信任，有限制信任，而不是全信任是首选策略。另外信任关系所依赖的点也要把握好。

3）整体，个体

不为%0.01的问题，付出200%的维护精力，或者使本来简单的框架变得更复杂，防护是整套体系，而不是只依赖某个点。当一个点做强了的时候，这个点就不是被攻击最猛的点。寻找短板，优化整体框架以减少逻辑上的攻击。

4）及时响应速度

有什么机制去响应突发的威胁，把影响降到最低：尽量保护用户重要数据不被泄漏，破坏。

 

最后，对抗是一个持续的过程，在这过程中防守一方只能增加攻击的难度，而不能消灭攻击，整个过程中保证用户机器稳定，性能始终是最重要的。

阅读全文
类别：默认分类 查看评论]]> 2012年01月12日 星期四 12:50 http://hi.baidu.com/sysnap/blog/item/2f66b829529021e099250a9a.html <![CDATA[2011.11最近感悟]]>     1) 人生旅途中往往会为一些事一些人而停留，如果最后还是要离开，那请别停留太久。

    2) 有时候为了走捷径，而花费了许多时间在寻找捷径上。

    3) 我们需要的是方向而不是目的地。

    4) 如果想突破现处的环境，首先不要指望能在这个环境得到更多。学会放弃。

    5) 希望之后就是等待, 如果希望是虚幻的，那等待便是没有尽头的。不要怕失望。有耐心去等，有勇气去追。

    6) 有执着就必有错过，有得到就必有失去。

    7) 没有交集，距离再近，也只是檫肩而过。

    8) 许多事情都如此，看着美好，听着美好，想着美好，但当自己身处其中时，便没有当初那种感觉了，大概美好的东西是不可触摸的，也无法寻找。

    9）我们做事情的初衷，即为了什么，很大程度上影响我们的态度，行为，心态，看事物的角度等。不同的初衷，做相同的事，结果也不同，去向也不同。所以从一个人的行为和心态可以推出内心看重的是什么。


阅读全文
类别：默认分类 查看评论]]> 2011年11月12日 星期六 17:13 http://hi.baidu.com/sysnap/blog/item/4d215309f9da999fd1581bff.html <![CDATA[PE LOADER，可运行MS自带的程序]]> 之前放着的代码，没啥用，干脆把以前的文档整理下发出来。
下面就是在实现一个PE LOADER过程中碰到的问题以及一些解决办法，更详细的请自己阅读代码，这个PE LOADER可以跑WINDOWS的大部分程序，在XP 下几乎MS的程序都可以跑，包括NOTEPAD, REGEDIT, 计算器等。
     主要的问题如下
     1）FormatMessage
     2）GetModuleFileName
     3）msvcrt与参数
     4）TLS
     5）捕获输出
     6）地址被占用的问题
     7）进程退出
     8）命令行
     9）重定向
 
Loader 要做的事情
1） 读取磁盘文件到内存
2） 处理导入表，重定位表，资源表
3） CALL入口函数

因为是加载EXE模块，XP的话默认加载基地址就是PE头种的ImageBase，这个地址空间一般状态是MEM_FREE，
XP
0:000> !address 0x01000000
    003a3000 : 003a3000 - 5fc4d000
                    Type     00000000 
                    Protect  00000001 PAGE_NOACCESS
                    State    00010000 MEM_FREE
                    Usage    RegionUsageFree
所以申请这地址开始的内存成功概率很大，这种情况下Loader会变得比较简单，只需要处理导入表就可以，而WIN 7因为采用了 地址随机分布 机制，EXE加载的地址不一定是ImageBase，ImageBase开始的内存已经被占用了
WIN 7
Usage:                  MemoryMappedFile
Allocation Base:        00870000
Base Address:           0096d000
End Address:            01470000 ；@@@@@@@@@@
Region Size:            00b03000
Type:                   00040000 MEM_MAPPED
State:                  00002000 MEM_RESERVE
Protect:                00000000 
Mapped file name:       PageFile
强制使用的后果是造成莫名的崩溃。
在XP为了让程序尽可能的在其默认加载的基地址运行，
需要减低ImageBase跟我们的EXE地址冲，解决办法就是我们编译的模块选一个加载的基地址。
这里我选的是 0x5FFF0000，这个地址就可以避免跟要RUN的EXE模块的基地址冲突了，另外为了能在WIN 7跑，还需要Disable Image Randomization (/DYNAMICBASE:NO)。为了避免DEP而导致出错，所以分配的内存的属性一律改为PAGE_EXECUTE_READWRITE
 
1）FormatMessage
XP很多程序的字符串都放在资源中，这样只要访问资源就可以了。但WIN 7中，很多字符串都是存在.MUI文件中而不是资源中。
因为微软的控制台程序几乎都会调用FormatMessage，所以这个函数如果失败，后面的功能就得不到执行。在WIN 7中需要对这个API进行处理，因为它没有去访问资源而是.MUI文件。MUI文件一般放在SYSTEM32\ZH-CN\目录下
，文件对应的.MUI文件可以通过GetFileMUIPath来获取
注:如果操作系统是 英文的或者其他语言的，那就不是ZH-CN了，具体可以通过API 
BOOL SetThreadPreferredUILanguages(
  DWORD  dwFlags,
  PCWSTR  pwszLanguagesBuffer,
  PULONG  pulNumLanguages
);来获取。
.MUI加载的时机
.MUI加载的时机是比较早的，也就是在进入MAIN之前被LDR给加载了。arp为例子，当运行arp.exe时，LdrpRunInitializeRoutines就会加载arp.exe.mui这个文件，然后才会进入到MAIN函数里面。
问题来了，因为我们自己加载要运行的模块，并没有走LdrpRunInitializeRoutines，自然我们进程空间就没有相应的.mui文件。解决办法就是需要自己LoadLibraryEx(RUN_IMAGE_FILE_PATH, NULL, NULL);一下。。最主要就是获取 .MUI文件的全路径。
DWORD WINAPI FormatMessage(
  __in          DWORD dwFlags,
  __in          LPCVOID lpSource,
  __in          DWORD dwMessageId,
  __in          DWORD dwLanguageId,
  __out         LPTSTR lpBuffer,
  __in          DWORD nSize,
  __in          va_list* Arguments
);
对访问.MUI获取字符串来说，dwFlags必须是要有FORMAT_MESSAGE_FROM_HMODULE
，所以这个标志是我们判断的重要依据。MS自己的lpSource传入为NULL，这样它会自动访问.MUI文件。而如果.MUI是我们自己加载的，那传入NULL无疑会导致失败，没能找到资源。所以需要HOOK这个API把lpSource改成我们LOAD .MUI文件的内存地址。
 
 
2）GetModuleFileName
崩溃
7282f0ef ff766c          push    dword ptr [esi+6Ch]
7282f0f2 ff1568838372    call    dword ptr [MFC42u!_imp__GetModuleFileNameW (72838368)]
7282f0f8 8d8584010000    lea     eax,[ebp+184h]
7282f0fe 6a2e            push    2Eh
7282f100 50              push    eax
7282f101 ff1558878372    call    dword ptr [MFC42u!_imp__wcsrchr (72838758)]
7282f107 66832000        and     word ptr [eax],0         ds:0023:00000000=????
eax = 0，可见GetModuleFileNameW返回的是NULL，而微软又没有对这个函数的返回值进行判断。所以导致崩溃。
为什么GetModuleFileNameW会崩溃呢？
GetModuleFileName的定义
DWORD WINAPI GetModuleFileName(
  __in          HMODULE hModule,
  __out         LPTSTR lpFilename,
  __in          DWORD nSize
);

跟进去看堆栈
0:000> kvnf
 #   Memory  ChildEBP RetAddr  Args to Child              
00           0012f650 7282f0f8 01000000 0012f874 00000104 kernel32!GetModuleFileNameW (FPO: [Non-Fpo])
传入的   hModule 的值是 01000000，注意这个值不是我们主程序的基地址，而是被RUN的EXE得基地址。
接着看
GetModuleFileName内部实现：
.text:7C80B458 loc_7C80B458:                           ; CODE XREF: GetModuleFileNameW(x,x,x)+85j
.text:7C80B458                 mov     [ebp+var_38], esi
.text:7C80B45B                 mov     ecx, [ebp+var_24]
.text:7C80B45E                 cmp     ecx, [esi+18h]
.text:7C80B461                 jz      short loc_7C80B481
.text:7C80B463                 mov     esi, [esi]
.text:7C80B465
.text:7C80B465 loc_7C80B465:                           ; CODE XREF: GetModuleFileNameW(x,x,x)+54j
.text:7C80B465                 mov     [ebp+var_2C], esi
.text:7C80B468                 cmp     esi, eax
.text:7C80B46A                 jnz     short loc_7C80B458
..........
.text:7C80B413 loc_7C80B413:                           ; CODE XREF: GetModuleFileNameW(x,x,x)+1C9j
.text:7C80B413                                         ; GetModuleFileNameW(x,x,x)+35979j
.text:7C80B413                 lea     eax, [ebp+var_1C]
.text:7C80B416                 push    eax
.text:7C80B417                 push    edi
.text:7C80B418                 push    1
.text:7C80B41A                 call    _LdrLockLoaderLock@12 ; LdrLockLoaderLock(x,x,x)
.text:7C80B41F                 mov     [ebp+ms_exc.disabled], edi
.text:7C80B422                 mov     eax, large fs:18h ；@@@@@@@@@@ TEB
.text:7C80B428                 mov     [ebp+var_30], eax
.text:7C80B42B                 mov     eax, [eax+30h] ；@@@@@@@@PEB
.text:7C80B42E                 mov     eax, [eax+0Ch] ； @@@@@@@@ _PEB_LDR_DATA
.text:7C80B431                 add     eax, 0Ch ；@@@@@@@@ nLoadOrderModuleList : _LIST_ENTRY
.text:7C80B434                 mov     [ebp+var_34], eax
.text:7C80B437                 mov     esi, [eax]
.text:7C80B439                 jmp     short loc_7C80B465
nLoadOrderModuleList 链表中成员的结构是：
typedef struct _LDR_MODULE
{
    LIST_ENTRY          InLoadOrderModuleList;   +0x00
    LIST_ENTRY          InMemoryOrderModuleList; +0x08  
    LIST_ENTRY          InInitializationOrderModuleList; +0x10
    void*               BaseAddress;  +0x18
    void*               EntryPoint;   +0x1c
    ULONG               SizeOfImage;
    UNICODE_STRING      FullDllName;
    UNICODE_STRING      BaseDllName;
    ULONG               Flags;
    SHORT               LoadCount;
    SHORT               TlsIndex;
    HANDLE              SectionHandle;
    ULONG               CheckSum;
    ULONG               TimeDateStamp;
} LDR_MODULE, *PLDR_MODULE;
可见 GetModuleFileName是通过遍历LoadOrderModuleList，然后看hModule 跟LDR_MODULE：：BaseAddress 相等，相等的话就取出里面的FullDllName。但由于我们传入的hModule是被处理过的，所以自然在链表里找不到导致返回NULL，而返回之后MS又不做判断就直接引用返回值，导致崩溃。
 
 
3）msvcrt与参数
WIN 7 ARP.EXE
.text:0100239E                 push    dword_1005968
.text:010023A4                 push    dword_1005960
.text:010023AA                 call    _main
msvcrt.dll 第一次被加载的时候，会调用GetCommandLine来获取当前参数，然后进行处理填充msvcrt的内部变量 
msvcrt!__argc 和 msvcrt!__argv。之后通过__getmainargs, __wgetmainargs就可以获取到相应参数，这时候并不会再走GetCommandLine。WIN 7的ARP.EXE获取命令行参数就是通过__getmainargs。因为msvcrt.dll在进程运行的时候已经被加载，所以无法拦截到GetCommandLine. 俩个参数在LOAD msvcrt.dll时被初始化。。WIN 7每个进程一运行就会加载这个DLL.所以需要自己HOOK __getmainargs, __wgetmainargs
 
 
4）TLS
0100887a 648b0d2c000000  mov     ecx,dword ptr fs:[2Ch]
01008881 56              push    esi
01008882 8d3481          lea     esi,[ecx+eax*4]
01008885 57              push    edi
01008886 8b3e            mov     edi,dword ptr [esi]  ds:0023:00000000=????????
01008888 83bf0400000000  cmp     dword ptr [edi+4],0

因为是  mov     ecx,dword ptr fs:[2Ch] 访问TEB 的 ThreadLocalStoragePointer， 如果我们没模拟LOADER初始话得话就会失败。。。所以需要自己分析TLS目录获取数据，填到内存，然后修改 ThreadLocalStoragePointer指针。其实只需要分配合适空间大小就可以。。里面的内容程序自己会添加，如果你得程序没使用TLS，那你得线程的ThreadLocalStoragePointer就为NULL，显然如果要跑的程序使用TLS，那访问该地方就蹦而了
void LdrInitThreadTls(PIMAGE_TLS_DIRECTORY pTlsDir)
{
 PVOID *ThreadLocalStoragePointer = NULL;
 UCHAR *pData = NULL;
 ULONG TlsSize = 0;
 ULONG TlsInitDataSize = 0;
 TlsInitDataSize = pTlsDir->EndAddressOfRawData - pTlsDir->StartAddressOfRawData; 
 TlsSize = (pTlsDir->EndAddressOfRawData - pTlsDir->StartAddressOfRawData) + pTlsDir->SizeOfZeroFill;
 ThreadLocalStoragePointer = (PVOID*)malloc(TlsSize+ sizeof(PVOID));
 pData = (UCHAR*)ThreadLocalStoragePointer + sizeof(PVOID);
 pData = (UCHAR*)ThreadLocalStoragePointer ;
 memcpy( pData, (void *)pTlsDir->StartAddressOfRawData, TlsInitDataSize );
 memset( pData + TlsInitDataSize, 0, pTlsDir->SizeOfZeroFill );
 NtCurrentTeb()->ThreadLocalStoragePointer = ThreadLocalStoragePointer;
 *(PVOID*)ThreadLocalStoragePointer = ThreadLocalStoragePointer;
}
 
5）捕获输出
MS控制台的输出不是用printf，而是fprintf
.text:0100215B loc_100215B:                            ; CODE XREF: _PutMsg+5Ej
.text:0100215B                 mov     dl, [eax]
.text:0100215D                 inc     eax
.text:0100215E                 test    dl, dl
.text:01002160                 jnz     short loc_100215B
.text:01002162                 sub     eax, ecx
.text:01002164                 push    eax             ; cchDstLength
.text:01002165                 push    dword ptr [ebp+lpszSrc] ; lpszDst
.text:01002168                 push    dword ptr [ebp+lpszSrc] ; lpszSrc
.text:0100216B                 call    ds:__imp__CharToOemBuffA@12 ; CharToOemBuffA(x,x,x)
.text:01002171                 push    dword ptr [ebp+lpszSrc]
.text:01002174                 push    offset aS       ; "%s"
.text:01002179                 push    esi             ; File
.text:0100217A                 call    ds:__imp__fprintf
.text:01002180                 add     esp, 0Ch
.text:01002183                 push    dword ptr [ebp+lpszSrc] ; hMem
.text:01002186                 call    ds:__imp__LocalFree@4 ; LocalFree(x)
.text:0100218C                 mov     eax, edi
.text:0100218E                 pop     esi
所以只要 IAT HOOK fprintf就可以。
 
6）地址被占用的问题
PELOADER地址被占用的问题
问题引人
LOADER要加载一个EXE文件，这个EXE文件加载的地址是在0x400000。在我们LOADER的MAIN函数里面，这个地址已经被占用，而你是不能去Free这个地址重新分布的，这样可能会导致程序崩溃。
问题产生
LOADER引用了一些DLL里面的API，这样导入表里会出现这些DLL，当你LOADER运行的时候，系统会帮你加载这些DLL，这些DLL会进行初始话，创建线程等操作，那地址被占用的概率是非常大的。这个也是在TLS执行之前的。
问题解决
1）延迟加载DLL，保证导入表中只有kernel32.dll
2)不要使用MFC，因为这个时候很难有机会占用要加载的地址
3）用驱动HOOK 分配内存的函数，禁止其分配某个地址开始的一片地址。
如果要使用MFC写LOADER，那唯一的办法就是
延迟加载DLL，保证导入表中只有kernel32.dll
接着挂起创建自己，分配保留内存，退出。
 
 
7）进程退出
问题：
当在内存中运行的程序，比如arp.EXE执行完之后就会退出，那结果是ExitProcess被调用，那将是我们主进程也结束，显然我们不希望这样。
处理办法：HOOK ExitProcess。问题来了
对MS的许多控制台程序，它们退出都是调用exit
 #   Memory  ChildEBP RetAddr  Args to Child              
00           003ef554 7c92df5a 7c939b23 000007f4 00000000 ntdll!KiFastSystemCallRet (FPO: [0,0,0])
01         4 003ef558 7c939b23 000007f4 00000000 00000000 ntdll!NtWaitForSingleObject+0xc (FPO: [3,0,0])
02        88 003ef5e0 7c921046 00c31ae8 77c0a5eb 77c31ae8 ntdll!RtlpWaitForCriticalSection+0x132 (FPO: [Non-Fpo])
03         8 003ef5e8 77c0a5eb 77c31ae8 7c8099cf 003ef608 ntdll!RtlEnterCriticalSection+0x46 (FPO: [1,0,0])
04        10 003ef5f8 77c09de8 00000008 7c8099cf 003ef61c msvcrt!_lock+0x30 (FPO: [Non-Fpo])
05        10 003ef608 77c09e90 00000000 00000000 00000000 msvcrt!_cinit+0x5e (FPO: [Non-Fpo])
06        14 003ef61c 01002735 00000000 00000000 003efbc4 msvcrt!exit+0x12 (FPO: [Non-Fpo])

里面持有了一个锁，所以如果HOOK ExitProcess， 那我们俩次在内存中运行arp.EXE之后就会死锁。所以对这类程序而言，不能HOOK ExitProcess，只能HOOK msvcrt!exit

另外还需要一个技巧，在内存运行的程序由我们EXE的一个线程来完成，否则HOOK msvcrt!exit也没办法处理好逻辑
void Fakeexit( 
    int status 
    )
{
 if( status == 0xbeebee )
  Oldexit(status);
 ExitThread(0xbeebee);
}
 
因为是创建的线程，所以只需要替换成ExitThread(0xbeebee);之后，进程退出这动作就被捕获了，然后我们替exit代为ExitThread(0xbeebee)后线程就退出返回控制到我们主EXE模块而不会出错。另外创建线程时要自己注意堆栈问题，否则堆栈可能会占用我们要放EXE的地址空间，导致失败，所以必须先分配内存空间后才能创建线程。
 
 
8）命令行
MIAN的参数怎样压的？

int __cdecl _tmainCRTStartup()
.text:60022B50 ; int __cdecl _tmainCRTStartup()
//
//调用GetCommandLineA之后调用setargv设置命令行，其实就是设置内部变量___argv和___argc，之后PUSH这俩个变量，在CALL MAIN
//
.text:60022BE8 loc_60022BE8:                           ; CODE XREF: __tmainCRTStartup+8Cj
.text:60022BE8                 call    ds:__imp__GetCommandLineA@0 ; GetCommandLineA()
.text:60022BEE                 mov     __acmdln, eax
.text:60022BF3                 call    j____crtGetEnvironmentStringsA
.text:60022BF8                 mov     __aenvptr, eax
.text:60022BFD                 call    j___setargv

....
.text:60022C42 loc_60022C42:                           ; CODE XREF: __tmainCRTStartup+E4j
.text:60022C42                 mov     ecx, __environ
.text:60022C48                 mov     ___initenv, ecx
.text:60022C4E                 mov     edx, __environ
.text:60022C54                 push    edx
.text:60022C55                 mov     eax, ___argv ;@@@@@@@@@内部变量
.text:60022C5A                 push    eax
.text:60022C5B                 mov     ecx, ___argc  ;@@@@@@@@@内部变量
.text:60022C61                 push    ecx
.text:60022C62                 call    j__main
 
int __cdecl _setargv()
.text:60031F40 ; int __cdecl _setargv()
.text:60031F40 __setargv       proc near               ; CODE XREF: j___setargvj
.text:60031F6E                 push    0               ; hModule
.text:60031F70                 call    ds:__imp__GetModuleFileNameA@12 ; GetModuleFileNameA(x,x,x)
.text:60031F76                 push    offset _pgmname ; _Value
.text:6003201B loc_6003201B:                           ; CODE XREF: __setargv+D4j
.text:6003201B                 lea     ecx, [ebp+numchars]
.text:6003201E                 push    ecx             ; numchars
.text:6003201F                 lea     edx, [ebp+numargs]
.text:60032022                 push    edx             ; numargs
.text:60032023                 mov     eax, [ebp+numargs]
.text:60032026                 mov     ecx, [ebp+p]
.text:60032029                 lea     edx, [ecx+eax*4]
.text:6003202C                 push    edx             ; args
.text:6003202D                 mov     eax, [ebp+p]
.text:60032030                 push    eax             ; argv
.text:60032031                 mov     ecx, [ebp+cmdstart]
.text:60032034                 push    ecx             ; cmdstart
.text:60032035                 call    parse_cmdline
.text:6003203A                 add     esp, 14h
.text:6003203D                 mov     edx, [ebp+numargs]
.text:60032040                 sub     edx, 1
.text:60032043                 mov     ___argc, edx  ;@@@@@@@@@内部变量
.text:60032049                 mov     eax, [ebp+p]
.text:6003204C                 mov     ___argv, eax ;@@@@@@@@@内部变量
.text:60032051                 xor     eax, eax

kernel32!GetCommandLineA:
7c812fbd a1f455887c      mov     eax,dword ptr [kernel32!BaseAnsiCommandLine+0x4 (7c8855f4)] ds:0023:7c8855f4=00151ee0
kernel32!GetCommandLineW:
7c817023 a10450887c      mov     eax,dword ptr [kernel32!BaseUnicodeCommandLine+0x4 (7c885004)]
7c817028 c3              ret
可见他们没走PEB。HOOK  GetCommandLine或者修改BaseAnsiCommandLine，BaseUnicodeCommandLine就可以捕获或者修改命令行传入的命令行
 
 
9)重定向
因为是加载EXE模块，XP的话默认加载基地址就是PE头种的ImageBase，而WIN 7因为采用了 地址随机分布 机制，EXE加载的地址不一定是
ImageBase。
所以需要重定向，但这里有个问题，就是加了/GS编译选项后编译出来的EXE会有问题。
在进入MAIN函数之前会执行这么一段代码
60022e60 8bff            mov     edi,edi
60022e62 55              push    ebp
60022e63 8bec            mov     ebp,esp
60022e65 e84ba6ffff      call    _________!ILT+1200(___security_init_cookie) (6001d4b5)
60022e6a e811000000      call    _________!__tmainCRTStartup (60022e80)
_________!__security_init_cookie:
600312f0 8bff            mov     edi,edi
600312f2 55              push    ebp
600312f3 8bec            mov     ebp,esp
600312f5 83ec18          sub     esp,18h
600312f8 c745f800000000  mov     dword ptr [ebp-8],0
600312ff c745fc00000000  mov     dword ptr [ebp-4],0
60031306 813d38d108604ee640bb cmp dword ptr [_________!__security_cookie (6008d138)],0BB40E64Eh
...........

里面会引用许多security cookie的全局变量，而这些变量没有在重定向表里，所以如果加载的 地址不是PE头种的ImageBase，就会出现访问错误，导致崩溃。
解决办法：

不要加载到 PE头的ImageBase 以外的地址。那如果跟我们的EXE地址冲突怎么办？ 解决办法就是我们编译的模块选一个加载的基地址。
这里我选的是 0x5FFF0000，这个地址就可以避免跟要RUN的EXE模块的基地址冲突了，另外为了能在WIN 7跑，还需要Disable Image Randomization (/DYNAMICBASE:NO)。 为了避免DEP而导致出错，所以分配的内存的属性一律改为
PAGE_EXECUTE_READWRITE

 

代码 http://bbs.pediy.com/showthread.php?t=141891

阅读全文
类别：默认分类 查看评论]]> 2011年10月25日 星期二 18:51 http://hi.baidu.com/sysnap/blog/item/a970c9363ba6a6c1a3cc2bc4.html <![CDATA[关于IDebugSymbols]]>     最近写个个人小东西需要用到符号相关的一些东西，为图方便想直接用 IDebugSymbols，奈何在调用StartSymbolMatch时死活失败，发现出错是在

.text:0212343B                 mov     ?g_EngineNesting@@3KA, eax ; ulong g_EngineNesting
.text:02123440                 cmp     ?g_Process@@3PAVProcessInfo@@A, 0 ; ProcessInfo * g_Process
.text:02123447                 jnz     short loc_212345A
.text:02123449                 mov     [ebp+var_C], 8000FFFFh
.text:02123450                 jmp     loc_21235E3

也就是是在调用该方式之前先要有一个TARGET，可以是DUMP文件，也可以是应用程序，总之就是不能直接用，用了也只能得到TARGET里有的模块的符号信息

 

结论：单独解析PDB不适合用IDebugSymbols，还是用DIA SDK吧

 

阅读全文
类别：默认分类 查看评论]]> 2011年10月09日 星期日 14:30 http://hi.baidu.com/sysnap/blog/item/5df2241e856ed30340341737.html