expriment: 在IDA中补齐已知的Windows定义的参数

实验对象: WDK7600中自带的 nullFilter 工程

这个工程的框架是minifilter, IDA没有识别全, 只将fltXX函数识别出来, 参数中的结构没有识别出来.

expriment: 在IDA中补齐已知的Windows定义的参数_第1张图片

加入FltXX标准结构

载入fltXX相关的PDB文件(如果没有载入过fltXX相关的PDB, 插入标准结构体时, 看不到fltXX相关的结构)

expriment: 在IDA中补齐已知的Windows定义的参数_第2张图片

expriment: 在IDA中补齐已知的Windows定义的参数_第3张图片

expriment: 在IDA中补齐已知的Windows定义的参数_第4张图片

expriment: 在IDA中补齐已知的Windows定义的参数_第5张图片

在命令输出窗口, 能看到确实载入了一些新的符号.

expriment: 在IDA中补齐已知的Windows定义的参数_第6张图片


切到结构体视图

expriment: 在IDA中补齐已知的Windows定义的参数_第7张图片

expriment: 在IDA中补齐已知的Windows定义的参数_第8张图片

expriment: 在IDA中补齐已知的Windows定义的参数_第9张图片

可以看到, IDA结构定义中已经插入了FLT_REGISTRATION结构定义.

expriment: 在IDA中补齐已知的Windows定义的参数_第10张图片

现在可以插入工程中需要的fltXX参数定义了~

expriment: 在IDA中补齐已知的Windows定义的参数_第11张图片


expriment: 在IDA中补齐已知的Windows定义的参数_第12张图片

expriment: 在IDA中补齐已知的Windows定义的参数_第13张图片

expriment: 在IDA中补齐已知的Windows定义的参数_第14张图片

结构已经定义好了

使用该结构的变量类型已经变成了_FLT_REGISTRATION

将使用该结构的变量改名, 符合变量命令规则.


改名后的效果


该变量的全局定义处, 被IDA自动改了.


对IDA没识别出来的结构参数都修正后, IDA逆向结果清晰多了.



你可能感兴趣的:(expriment: 在IDA中补齐已知的Windows定义的参数)