问题标签 [ida]

我正在使用 IDA Pro 调试一个 Windows 应用程序，我看到它有一次调用FindWindowA并成功地找到了一个具有给定类名的窗口。

但是，当我使用 Spy++ 定位具有给定类名的窗口时，它似乎不存在于任何地方，我找不到它。

我想知道如何找到应用程序在调用时以某种方式在内部找到的同一个窗口FindWindowA？我想知道为什么我的外部应用程序找不到相同的窗口...

我有一个要在 IDA 中反汇编的二进制文件。因为 IDA 无法找到每一个单独的代码路径，所以我需要手动遍历并找到二进制文件中未探索的区域，然后通过基本重复 Ctrl+U 和 C 将它们转换为代码。这显然非常耗时。

有没有办法自动找到未探索的区域并尝试将它们转换为代码？

我有这个想要编辑的二进制文件，但是在加载它之后，所有的字符串都是某种乱码。反正有格式化吗？

我正在为游戏开发启动器。想要拦截游戏对打印文本的函数的调用。

不知道包含这个函数的代码是动态链接的还是静态链接的。所以我什至不知道函数名。

我确实通过Microsoft Detours、Ninject 和其他一些人截获了这个游戏的一些windows-api 调用。

但这一个也不在导入表中。

我应该怎么做才能捕捉到这个函数调用？应该使用什么分析器？国际开发协会？如何做到这一点？

编辑：

终于找到函数地址了。谢谢，斯金诺！

试图将它与 Detours 挂钩，注入 dll。注入的 DllMain：

它按预期挂钩。参数a具有应显示的文本。但是当调用原始函数应用程序return PrintText_Origin (a, b, c , d);崩溃（http://i46.tinypic.com/ohabm.png，http://i46.tinypic.com/dfeh4.png）

原功能拆解：

http://pastebin.com/1Ydg7NED

绕道后：

http://pastebin.com/eM3L8EJh

编辑2：

绕道后：

http://pastebin.com/GuJXtyad

PrintText_Hooked反汇编http://pastebin.com/FPRMK5qt w3_loader.dll是注入的dll

我不擅长 ASM，请告诉我可能出了什么问题？

当我试图弄清楚某个函数是如何工作的时，我正在查看 IDA 中的一个程序，当我遇到这样的事情时：

谁能向我解释在这种情况下跳转到一个函数究竟会做什么？我猜它充当其他功能的包装器？

这就是我包含返回函数的代码的结尾。

有人可以评论它的作用并解释我如何强制返回指令，我认为它是 POP 总是返回 TRUE！

我发布的代码部分......是一个布尔函数，它进行一些操作，然后返回 TRUE 或 FALSE。

谢谢

我在大学有一门课程（逆向工程），我有作业。我有一个 .obj 文件（用 Visual Studio 2008 编译），我必须反汇编它，找出控制结构并在一个小 c 程序中调用它。

我使用了 IDA 反编译器，这里是 asm 代码：

IDA 也让我成为了一个很好的控制结构：

如您所见，代码是这样的：

据我所知，for1 和for2 的结构几乎相同，只是活动不同，for3 实现的功能与for1 和for2 一样在functionfamily 中。for3 使用第二个 malloc 的结果作为参数，所以我认为 for2 应该是某种数组复制循环。for1、for2 和 for3 是已知的 stdc 内联实现。

有人可以帮我弄清楚这个 f3 函数的目的吗？

第二个问题：如何在一个小示例 C 程序中使用这个 .obj 文件？我如何在 VS 中调用它的函数？

在此先感谢，任何帮助表示赞赏。

更新：小丑：有趣。你是怎么知道节点的结构的？我仍在试图弄清楚这整件事（在你的帮助下），但还没有。

我想通了，IDA 反汇编器有一个伪代码查看功能。这是伪：

从这里也许它计算一个数字在字符串中的出现？这个伪代码对我来说有点模糊。

我试图在示例程序中调用此函数，但没有成功。我用过： extern signed int fb3(int a1, const char *a2); 然后我尝试调用它，但是链接器给了我“函数_main中引用的未解析的外部符号_fb3”错误（因此，我猜想我用那个extern关键字声明的.obj文件中没有具有此签名的fb3函数。所以签名错误）。

这是我尝试使用的示例程序（main.c）：

我也将链接器输入（vs2010）设置为 f3.obj。

UPDATE2： 我实现了节点结构，并使用了区分大小写的函数名，现在我可以成功编译了。

示例程序：

输出是：

有趣的是第 7 个 printf 应该 printf "value=2"，因为 "v" 已经在树中了，不是吗？

我需要编辑一个 .NET 可执行文件。我是十六进制编辑的新手。我已将其导入 IDA 6.1 Pro 并在 IDA-View Window 中对其进行编辑。

原来的：

我改为（右键单击>手动...（手动操作数））：

我已经安装了 PatchDiff2（IDA 插件），但这对我不起作用：

是否有另一种方法来提交对可执行文件的更改？原始字节值为：72 BD 1B 00 70 02 7B 59 00 00 04 28 1B 00 00 0A

我如何获得（我需要它从 Edit\Patch program\chenge Bytes 修补）新的 HEX 值

此代码部分中的哪些功能又短又大？large 和long dword一样吗？

目前我在 IDA Pro 的帮助下从 iOS 5 App 中提取了一些 ARMv7 汇编代码，我想根据这些汇编代码生成一个控制流图。有没有人可以推荐该工具可以帮助我做到这一点？我对汇编知之甚少，但我可以学习基本的指令和概念来构建图形

不管怎么说，还是要谢谢你！