Обмен опытом использования и настройки интерактивного дизассемблера и отладчика IDA Pro.
Прошлый топик Использование IDA Pro

| Сообщение посчитали полезным: oxfemale, gent0o0

r_e, подскажи вот есть файлик main.o сделан в gcc, ида опазнает как elf файл проца атину4313, хочу там удалить одну функцию из кода и еще эта функция обращается в секцию данных, которую также хочу удалить. Цель уменьшить размер прошивки, чтобы использовать ее под свои цели. Функция вместе с секцией дата весит около килобайта. Как корректно удалить, чтобы не нарушились связи ?

| Сообщение посчитали полезным: Keksov

Уважаемые коллеги. Не могу найти ответа на вопрос, можно ли в IDA загрузить две разные секции кода, по одинаковому базовому адресу. Причина в том, что в используемой архитектуре, используется селектор страницы кода. Пока я вижу, что все секции дожны лежать в непересекающихся областях памяти. Но может быть есть нюанс, которого я не знаю? Подскажите, пожалуйста.

| Сообщение посчитали полезным: Keksov

--> Link <--
--> Link <--

| Сообщение посчитали полезным:

reversecode Спасибо, но я не вижу ответа на свой вопрос в приведенных ссылках.

| Сообщение посчитали полезным:

Radiola пишет:
не вижу ответа на свой вопрос в приведенных ссылках.
... IDA allows to create several segments with the same virtual address in them. For this, you just need to create segments with correct segment base values.

| Сообщение посчитали полезным:

awlost Спасибо. Попробую разобраться.

| Сообщение посчитали полезным:

reversecode, не знаешь как из объектного файла выкинуть секцию данных корректно, в коде поудалял все обращения к этой секции, не знаешь как ее правильно еще удалить ?

| Сообщение посчитали полезным:

знаю
декомпилировать в исходник
и дальше исходник компилировать как душе вздумается

| Сообщение посчитали полезным:

reversecode, это не очень удобно, я имел ввиду как в экзешники удалять секции так можно в объектном файле прошивки мк ?

| Сообщение посчитали полезным:

на сайте ИДЫ (https://www.hex-rays.com/products/ida/support/tutorials/unpack_pe/unpacking.pdf) есть туториал по Universal PE Unpacker plug-in.
Там в качестве примера рассматривается файл hello-upx125w.exe.
Но ссылки на сам файл нет. Может он шел в комплекте со старой ИДОй? В google ничего не нашел...
Может у кого завалялся?

-----
Give me a HANDLE and I will move the Earth.

| Сообщение посчитали полезным:

нет не шел в комплекте
кеп, это "любая" прога которая упакована upx125w.exe

| Сообщение посчитали полезным: plutos

plutos пишет: есть туториал по Universal PE Unpacker plug-in

Бесполезная ерунда, без знаний алгоритмов сжатия не на анпачишь особо, а зная проще самому написать плагин или программу. Оно там лежит по принципу когда то написали, оказалось ерунда, но выкидывать жалко.

| Сообщение посчитали полезным: plutos

Ида при ручной трассировке через F8 доходит до исключения, закрывает дебаггер и
программу и выдаёт код выхода (exit code), а мне надо код исключения!
Возможно автоматическая трассировка это сделает? Я на Иде ей не пользовался.
Подскажите, пожалуйста, как сделать старт/стоп этой трассировки.

| Сообщение посчитали полезным:

Если кто собирал Qt 5.6.3 для IDA 7.0 поделитесь патчем пожалуйста

| Сообщение посчитали полезным:

Понадобился тут срочно idb2pat под новую иду. Вроде довел до рабочего состояния. Если скомпиленные бинари кому - пишите.

8c1c_30.11.2017_EXELAB.rU.tgz - idp2pat-201711301526.zip

-----
старый пень

| Сообщение посчитали полезным: ajax

r_e
а если бы еще собраный был под 6.8 и 7.0
r_e пишет:
держи под 70. под 68 как-нибудь сами
нормально, для pat мож и лучше. фенкс!

-----
От многой мудрости много скорби, и умножающий знание умножает печаль

| Сообщение посчитали полезным:

держи под 70. под 68 как-нибудь сами

e327_30.11.2017_EXELAB.rU.tgz - idb2pat-ida70.zip

-----
старый пень

| Сообщение посчитали полезным: mak

хочу отдебажить x86 DLL от NET программы, в IDA7.
когда-то на древних версиях получалось, а сейчас в логе IDA пишет ошибку,
а прога потом пишет варнинг что не смогла загрузить 'VTHelper.dll' или зависимости 'VTHelper.dll':

DLL 'XXHelper.dll' is attempting managed execution inside OS Loader lock.
Do not attempt to run managed code inside a DllMain or image initialization function
since doing so can cause the application to hang.

гуглится только hxxps://stackoverflow.com/questions/56642/loader-lock-error
но понимания что включить в IDA - нет, как и что это такое - слабо ((((

может кто в курсе насчет этого Loader lock ?
оно и как поправить, или не там вообще смотрю.
заранее благодарен.

Добавлено спустя 41 минуту
разобрался.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework]
"MDA"="0"

добавил сразу, но для 32 под 64, нужно добавить

[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\.NETFramework]
"MDA"="0"

| Сообщение посчитали полезным:

Скажите, пожалуйста, кто знает, как в IDA установить переменную окружения?

| Сообщение посчитали полезным:

ksol
---phuck.bat begin ---
@set PHUCK=12345
@idaq dbase.idb
---phuck.bat end ---

-----
От многой мудрости много скорби, и умножающий знание умножает печаль

| Сообщение посчитали полезным: ksol

ajax - спасибо! Если я правильно понял, то происходит установка в среду Windows,
а специфика IDA отражается только в имени переменной.

Добавлено спустя 2 часа 19 минут
...Всё же нет! А в базу данных IDA.
-----------------------
Это пример установки переменной.
А как открыть для просмотра установленных?

| Сообщение посчитали полезным:

ajax
Вообще интересный вопрос, может подскажете, можно ли как-то изменить установленную переменную окружения в запущенном процессе? Не обязательно в IDA, а в целом, например в x64dbg. Т.е. запускается приложение, в мониторинге видно установленные переменные (их имена и значения) при запуске процесса, аттачимся к процессу, а дальше где в памяти найти и изменить эти установленные переменные? Стандартная правка в "Переменные среды" не помогает.

| Сообщение посчитали полезным:

ksol пишет: А как открыть для просмотра установленных
открыть чего? process explorer из sysinternals suite показывает все процессы
Haoose-GP
либо копать потроха системы, либо SetEnvironmentVariable() вызвать из приаттаченой либы, например

-----
От многой мудрости много скорби, и умножающий знание умножает печаль

| Сообщение посчитали полезным:

Haoose-GP пишет: Т.е. запускается приложение, в мониторинге видно установленные переменные (их имена и значения) при запуске процесса, аттачимся к процессу, а дальше где в памяти найти и изменить эти установленные переменные?

Либо потчить саму строку в бинаре или хучить системные функции (аналогично ini\cfg\реестр) и подставлять свои значения, в самом простом варианте проблему могут решить псевдонимы ака альясы.

| Сообщение посчитали полезным:

ajax пишет:
открыть чего? process explorer из sysinternals suite показывает все процессы
Не процессы! А список установленных по умолчанию переменных окружения Ида!
В частности, значение переменной IDA_NOEH.

| Сообщение посчитали полезным:

ksol
плаг для иды напишите или либу подцепите. функцию я уже выше написал, еще GetEnvironmentStrings() - получить все переменные. вообще, оффтоп
reversecode пишет:
что то новость прошла незаметно ida sp1
ч.т.д. на 6.8 до сих пор. 7.0 косячная

-----
От многой мудрости много скорби, и умножающий знание умножает печаль

| Сообщение посчитали полезным:

что то новость прошла незаметно ida sp1 7.0

| Сообщение посчитали полезным: plutos

reversecode пишет:
что то новость прошла незаметно ida sp1 7.0

List of BUGFIXов впечатляет!

-----
Give me a HANDLE and I will move the Earth.

| Сообщение посчитали полезным:

Haoose-GP
Да, они есть в адресном пространстве процесса. Если не изменяет память, то АПИ винды находят их через PEB. Вам же можно, чтобы меньше заморачиваться, искать их прямо в памяти процесса. Т.е. хотите изменить какое-то значение - ищете его в памяти, меняете. Искать надо юникодовые строки.

-----
Stuck to the plan, always think that we would stand up, never ran.

| Сообщение посчитали полезным:

Может кто скажет есть ли в скрипте IDA (*.idc) команды перехвата
исключения? Что-то типа команды из ODbg Script'a "eoe addr" - переход по исключению.
Программа стоит в дебаггере на инструкции непосредсвенно перед инструкцией
вызывающей исключение.

Добавлено спустя 18 часов 55 минут
-------------------------------------------
нашёл! конструкция try - catch

| Сообщение посчитали полезным: