Доброго времени суток! Есть приложение без исходников. Между кодом функций видим:

Хотелось бы написать утилиту, в учебных целях, которая уберет/сократит промежутки между функциями.
Исходя из этого, мне необходимо будет пофиксить абсолютные и относительные ссылки. С фиксом абсолютных проблем не должно возникнуть. Собираюсь использовать данные, которые лежат в .reloc секции. А как же мне быть с фиксом относительных ссылок? Каким образом мне находить места, которые возможно нуждаются в правке?

| Сообщение посчитали полезным:

А какой в этом смысл? Уменьшить размер?
А что делать с теми функциями (процедурами), которые вызываются динамически, то есть примерно так:

А если значение, по которому будем вызывать высчитывается?
А что делать с упакованными файлами?
Я считаю: проблем много, выгоды никакой...

Update:
Придется писать анализатор. Ведь если ты уберешь лишние байты в начале файла, то тебе придется менять все ссылки, которые находятся ниже по коду...

-----
One death is a tragedy, one million is a statistic.

| Сообщение посчитали полезным: Dynamic

ZaZa пишет:
А какой в этом смысл?
Смысл в том, что бы реализовать механизм. Не более.

ZaZa пишет:
то есть примерно так:
Вы привели пример с абсолютной ссылкой, которую я найду с помощью данных в секции .reloc и поправлю.

ZaZa пишет:
А что делать с упакованными файлами?
Мне нужно реализовать утилиту, которая будет работать с моим образцом. Так что универсальность мне не нужна.

| Сообщение посчитали полезным:

В общем случае написать это без вариантов. В частном-пиши полный анализатор типа иды и всячески помогай ему при помощи map, pdb, интерактивно и тд.

| Сообщение посчитали полезным: ajax, Dynamic

Dynamic пишет:
Вы привели пример с абсолютной ссылкой, которую я найду с помощью данных в секции .reloc и поправлю.
смелые планы, эта секция далеко не всегда будет в наличии

| Сообщение посчитали полезным: Dynamic

ZaZa пишет:
Update:
Придется писать анализатор. Ведь если ты уберешь лишние байты в начале файла, то тебе придется менять все ссылки, которые находятся ниже по коду...
Верно. Так и планировал. Сейчас проблема в поиске мест с относительными ссылками.

2nd пишет:
смелые планы, эта секция далеко не всегда будет в наличии
А мне универсальности и не надо. Главное что в моем EXE она есть.


Возможно есть способы собрать адреса мест в секции кода, которые содержат относительные ссылки? Возможно с помощью плагинов/скриптов к OllyDbg?

------------------------------------------
Добавлено:

Если вариантов нету, то буду писать парсер листинга OllyDbg

Какие команды кроме CALL и всех видов прыжков мне надо учесть?

| Сообщение посчитали полезным:

Dynamic пишет:
Какие команды кроме CALL и всех видов прыжков мне надо учесть?

Вот такую, например:


-----
One death is a tragedy, one million is a statistic.

| Сообщение посчитали полезным:

401000 - абсолютный адрес, а не относительный. Так что его я найду в .reloc

ZaZa пишет:
А если значение, по которому будем вызывать высчитывается?

Ну дык в основе просчетов будет лежать адрес, который зависит от ImageBase. Опять поможет .reloc

| Сообщение посчитали полезным:

Dynamic пишет:
Ну дык в основе просчетов будет лежать адрес, который зависит от ImageBase. Опять поможет .reloc
от ImageBase он зависит, но reloc тут может и не помочь, грубо говоря


чем поможет reloc ?
тут хоть значение eax очевидно и легко можно определить статически, а оно может расчитываться гораздо более иначе.

| Сообщение посчитали полезным:

В примере от ZaZa .reloc поможет 100 %, ибо адрес абсолютный.

Я понимаю, что можно придумать ситуации, при которых решить задачу будет весьма сложно.
Мое приложение скомпилировано с помощью VS2008 и таких сложностей в нем нету.

Можете привести пример кода, при компилировании которого будут строится jmp, которые "прыгают" по функциям и при расчете учитывают промежутки между ними?

| Сообщение посчитали полезным:

Archer пишет:
В частном-пиши полный анализатор типа иды и всячески помогай ему при помощи map, pdb, интерактивно и тд.
Анализатор написать несложно, всего лишь нужно потратить время, кучу нейромедиаторов (серого вещества, проще говоря), побороть лень и преодолеть не один психологический барьер.

Dynamic
Схема примерно такая:
Дизасм раскладывает загруженный код на функции, функции на блоки, блоки на структуры с инструкциями. Каждый блок представляет собой вершину графа с исходящими к другим вершинам ветвями и входящими - ветвления, граф - функция, весь код - система графов. Раскладывая код, обнаруживаются места, требующие анализа, который можно проводить ходом назад по полученным структурам с инструкциями и по блокам с выявлением регистров и переменных, которые учавствуют в вычислении адреса прыжка...

Ветвление абсолютной и относительной адресации переправить легче, чем косвенную. Если код не содержит косвенной адресации, то задача вполне быстро решаема.

-----
IZ.RU

| Сообщение посчитали полезным: Dynamic

У меня получилось. Написал утилиту, которая убрала байты(0xCC...) между кодом функций, пофиксила все абсолютные и относительные ссылки. В конечном результате программа работает.

| Сообщение посчитали полезным:

Dynamic
Молодец! Выкладывай сорцы и закрывай тему, раз проблема решена... Заранее благодарен за понимание!

-----
One death is a tragedy, one million is a statistic.

| Сообщение посчитали полезным: