Кто-нибудь знает алгоритм? Сорцов у меня нет, а распаковывать и смотреть что там MackT наваял - особо желанием не горю.

-----
Реверсивная инженерия - написание кода идентичного натуральному

| Сообщение посчитали полезным:

Хз что там наваяли, но как варианты:
1. Сканить дата секции на группу офсетов.
2. Трейсить до первого импа
3. Сканить секцию кода на call offs

-----
старый пень

| Сообщение посчитали полезным:

Сорцы на васме лежат, но не полные вроде.

| Сообщение посчитали полезным: TLN

Hellsp@wn делал подобную тулзу Easy import finder
http://exelab.ru/f/action=vthread&forum=1&topic=8381

-----
Nulla aetas ad discendum sera

| Сообщение посчитали полезным:

Hexxx
а сырки scylla не катят https://github.com/NtQuery/Scylla ?

-----
От многой мудрости много скорби, и умножающий знание умножает печаль

| Сообщение посчитали полезным:

Flint давно было, я уже не помню как оно работает, исходники вроде должны быть.

r_e пишет:
Хз что там наваяли, но как варианты:
1. Сканить дата секции на группу офсетов.

вроде как раз вот так

-----
[nice coder and reverser]

| Сообщение посчитали полезным:

ajax пишет:
а сырки scylla не катят
Scylla ищет дизасмом опкоды вызова или прыжка через память, т.е. FF 15 или FF 25. Это наверно именно то что делает imprec. Судя потому как оно ошибается

Hellspawn пишет:
вроде как раз вот так
т.е. если в определенном куске памяти скопилось какое-то количество адресов за пределами модуля, то это IAT?

-----
Реверсивная инженерия - написание кода идентичного натуральному

| Сообщение посчитали полезным:

Hexxx
Это уже из разряда эвристик. Можно предположить что каждый чанк ведет в системный модуль, с учетом возможных форвардов. Правда, если импорт потырен то будут фолсы.
Ну или да, пункт 3 - ищем оффсеты и опять же, проверяем чанк.
+ можно проверять стандартные конфигурации

-----
старый пень

| Сообщение посчитали полезным:

Hexxx
импрек находил таблицу импорта и сверял каждый оффсет в ней (+4) с оффсетами загруженных либ. вроде ничего более

-----
От многой мудрости много скорби, и умножающий знание умножает печаль

| Сообщение посчитали полезным:

Hexxx ну если грубо, то да:


тут просто проверяется вхождения адреса, хоть в какой либо модуль, можно дальше можно тут же проверить, что это именно кодовая секция и т.д.

-----
[nice coder and reverser]

| Сообщение посчитали полезным:

Это понятно, но как отличить от глобальных переменных хранящих адрес экспортируемой функции в другом модуле? Импорты бывают разные
Например берем самый худший вариант: изначально импортируется в бинарь только одна функция. Дальше бинарь накрыт протектором херящим импорт. Как найти IAT для такого бинаря?

-----
Реверсивная инженерия - написание кода идентичного натуральному

| Сообщение посчитали полезным:

Hexxx
Универсально - никак.
Хучим LoadLibrary, GetModuleHandle, GetProcAddress и смотрим что протектор резолвит. Хотя, он может все сделать сам, не обращаясь к системе.

-----
старый пень

| Сообщение посчитали полезным:

Hexxx пишет:
Например берем самый худший вариант: изначально импортируется в бинарь только одна функция. Дальше бинарь накрыт протектором херящим импорт. Как найти IAT для такого бинаря?

У бинаря найдется адрес - xxxx, который будет попадать в адресное пространство какого-то модуля (скорее всего в кодосекцию). У модуля будут экспортируемые функции - yyyy. Если xxxx = yyyy, значит скорее всего это импорт.

-----
Nulla aetas ad discendum sera

| Сообщение посчитали полезным:

r_e пишет:
Хучим LoadLibrary, GetModuleHandle, GetProcAddress и смотрим что протектор резолвит.
Я рассматриваю вариант импрека, когда мы смотрим на уже запущеный процесс. Так что не судьба...

-----
Реверсивная инженерия - написание кода идентичного натуральному

| Сообщение посчитали полезным:

Flint пишет:
Если xxxx = yyyy, значит скорее всего это импорт.
Перечитай пример, и поймешь что далеко не факт.

-----
Реверсивная инженерия - написание кода идентичного натуральному

| Сообщение посчитали полезным:

а никак, для таких случаев вводим интерактивность

-----
[nice coder and reverser]

| Сообщение посчитали полезным:

Кстати вот, но это было давно и неправда

-----
the Power of Reversing team

| Сообщение посчитали полезным:

ясно, в общем я пишу плагин к IDA, чтобы можно было импорт по полным дампам памяти восстанавливать. Вся инфа в них есть, никакая антиотладка не мешает, лепота. Только тулзов нет

-----
Реверсивная инженерия - написание кода идентичного натуральному

| Сообщение посчитали полезным: mak

Hexxx пишет:
плагин к IDA, чтобы можно было импорт по полным дампам памяти восстанавливать
...а можно подробнее о том, как это выглядит?

-----
the Power of Reversing team

| Сообщение посчитали полезным:

DillerInc
дамп всех регионов памяти .exe, типа как region dump в lordpe/petools. дальше прогон импорта по адресам сиих регионов. имхо.
PS: когда-то в одной группе была мысля сделать анпакер (exe, конечно, большой бы получался) на основе полного дампа регионов - но, много тонкостей, руки не дошли.

-----
От многой мудрости много скорби, и умножающий знание умножает печаль

| Сообщение посчитали полезным:

DillerInc пишет:
а можно подробнее о том, как это выглядит?
Дампы которые делает windbg, process explorer, task manager и т.д. можно грузить в IDA. Дамп чем хорош:
1) он содержит ВСЮ память процесса
т.е. не бывает такой ситуации когда у тебя переходники ведут в протектор, а ты забыл их сдампить.
2) все DLL находятся на одних и тех же адресах не смотря на ASLR.
ибо это же полный дамп памяти процесса
3) протекторы не блокируют создание таких дампов
Да и не смогут Я могу апаратно рушить всю винду (BSOD), и забирать инфу о процессе из полного дампа физической памяти. Т.е. невозможно отличить, кто спровоцировал дамп.
4) в дампе есть "контекст" известно какой процесс и какой поток что делал.
Используя эмуляторы можно сколько угодно имитировать всевозможные вызовы и смотреть, что будет.

Пока что я хочу сделать прогамму минимум: написать плагин к IDA, чтобы сохранять импорт в текстовый файл в формате импрека.
А там может допилю до полноценной тулзы для получения полностью восстановленного exe из IDA.

Как это будет происходить восстановление импорта. Плагин находит IAT и показывает какие из указателей в нем в какой экспорт сейчас указывают. Будет как в импреке дерево и видно где чистый thunk, а где в протектор смотрит. Дальше можно, используя какие угодно свои IDC/python скрипты или плагины к IDA, менять адреса в IAT на правильные. Т.е. патчить базу IDA, так чтобы IAT выглядела коректно. Когда все будет готово можно будет сохранить импорт как текстовый файл в формате импрека, или даже сохранить сразу восстановленый бинарь.

-----
Реверсивная инженерия - написание кода идентичного натуральному

| Сообщение посчитали полезным: