首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 峰会 看雪商城 证书查询
  1. 社区
  2. 软件逆向
    3. 发新帖
写了个小的 WinDbg 脚本，可以显示 SSDT
发表于: 2006-10-29 14:45 16598

写了个小的 WinDbg 脚本，可以显示 SSDT

小喂 活跃值
5
2006-10-29 14:45
16598

$$ ntcall Script v0.1
$$ by 小喂 2006.10.29

aS ufLinkS "<u><col fg=\\\"emphfg\\\"><link name=\\\"%x\\\" cmd=\\\"uf 0x%x\\\">";
aS ufLinkE "</link></col></u>";

r $t1 = nt!KeServiceDescriptorTable;
r $t2 = poi(@$t1 + 8);
r $t1 = poi(@$t1);

.printf "\nOrd   Address   fnAddr   Symbols\n";
.printf "--------------------------------\n\n";

.for (r $t0 = 0; @$t0 != @$t2; r $t0 = @$t0 + 1)
{
    r $t3 = poi(@$t1);
    .printf /D "[%3d] %X: ${ufLinkS}%X${ufLinkE} (%y)\n", @$t0, @$t1, @$t3, @$t3, @$t3, @$t3;
    r $t1 = @$t1 + 4;
}

.printf "\n- end -\n";

ad ufLinkS;
ad ufLinkE;


点击链接会完整反汇编具体某个函数。


[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课

收藏
免费 ・7
支持
分享
最新回复 (12)
北极星2003
雪    币： 1852
活跃值： (504)
能力值： (RANK：1010 )
在线值：
发帖
回帖
粉丝
私信
2 楼
学习+收藏！
2006-10-29 14:53
0
kanxue
雪    币： 58782
活跃值： (21956)
能力值： (RANK：350 )
在线值：
发帖
回帖
粉丝
私信
3 楼
欢迎小喂，论坛需要新鲜血液注入
2006-10-29 15:00
0
小喂
雪    币： 191
活跃值： (41)
能力值： ( LV12，RANK：210 )
在线值：
发帖
回帖
粉丝
私信
4 楼
这个脚本里面用到了 WinDbg v6.6.7.5 版本引入的 Debugger markup language(DML)，看了一点文档，还不会用，期待高手关于 WinDbg 的文章。
2006-10-29 15:24
0
forgot
雪    币： 6075
活跃值： (2236)
能力值： (RANK：1060 )
在线值：
发帖
回帖
粉丝
私信
5 楼
诡异的语法
2006-10-29 16:41
0
笨笨雄
雪    币： 846
活跃值： (221)
能力值： (RANK：570 )
在线值：
发帖
回帖
粉丝
私信
6 楼
aS ufLinkS "<u><col fg=\\\"emphfg\\\"><link name=\\\"%x\\\" cmd=\\\"uf 0x%x\\\">";
aS ufLinkE "</link></col></u>";

相当于VB的DIM UFLINKS，UFLINKE AS STRING
UfLINKs=<u><col fg="emphfg"><link name="%x" cmd="uf 0x%x">
ufLinke=</link></col></u>

这样就好理解多了，主要在""里面使用"，需要在前面加\.UF是WINDBG的指令，汇编整个函数

按照楼主的思路，说不定也能用WINDBG的LOG读写功能来生成一个HTML的报告文件

原来还有Debugger markup language(DML)，我之前发的教学看来要误导新手了，先去找文档学习一下，看看能不能写些实例
2006-10-30 11:34
0
笨笨雄
雪    币： 846
活跃值： (221)
能力值： (RANK：570 )
在线值：
发帖
回帖
粉丝
私信
7 楼
在GOOGLE和MSDN搜索了一下。用了Debugger markup language和DML关键字。除了查到DML=data manipulation language （在MSDN中查到跟SQL有关的，一大堆）之外。。还查到一个网站，里面似乎有相关文章，但是收钱的。。。请问楼主能不能给出文档相关连接？

f5bK9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4N6%4N6#2)9J5k6e0q4T1K9i4c8Q4x3X3g2U0L8$3#2Q4x3X3g2T1M7W2)9J5c8X3y4G2L8Y4c8W2L8Y4c8Q4x3X3f1I4j5X3W2@1i4K6u0r3N6$3g2T1L8r3!0Y4i4K6u0r3N6$3W2F1k6r3u0Y4i4K6g2X3k6r3#2D9
我只找到这个。。。还不知道是哪国的文字。。

c35K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4N6%4N6#2)9J5k6i4m8J5K9h3!0J5j5i4u0@1k6r3q4@1j5h3u0S2M7$3g2Q4x3X3g2U0L8$3#2Q4x3V1k6u0f1p5y4a6e0g2)9J5c8U0l9H3x3o6p5K6y4U0j5H3y4W2)9J5c8R3`.`.
这个似乎是卖文章的。。
2006-10-30 15:16
0
９５２１
雪    币： 1976
活跃值： (1524)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
8 楼
这个东西不错，学习
2006-10-30 16:01
0
RyoKou
雪    币： 214
活跃值： (10)
能力值： ( LV4，RANK：50 )
在线值：
发帖
回帖
粉丝
私信
9 楼
最初由 笨笨雄 发布
在GOOGLE和MSDN搜索了一下。用了Debugger markup language和DML关键字。除了查到DML=data manipulation language （在MSDN中查到跟SQL有关的，一大堆）之外。。还查到一个网站，里面似乎有相关文章，但是收钱的。。。请问楼主能不能给出文档相关连接？

68dK9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4N6%4N6#2)9J5k6e0q4T1K9i4c8Q4x3X3g2U0L8$3#2Q4x3X3g2T1M7W2)9J5c8X3y4G2L8Y4c8W2L8Y4c8Q4x3X3f1I4j5X3W2@1i4K6u0r3N6$3g2T1L8r3!0Y4i4K6u0r3N6$3W2F1k6r3u0Y4i4K6g2X3k6r3#2D9
我只找到这个。。。还不知道是哪国的文字。。

........

windbg根目录下的dml.doc。
2006-10-30 16:13
0
小喂
雪    币： 191
活跃值： (41)
能力值： ( LV12，RANK：210 )
在线值：
发帖
回帖
粉丝
私信
10 楼
最初由 笨笨雄 发布
在GOOGLE和MSDN搜索了一下。用了Debugger markup language和DML关键字。除了查到DML=data manipulation language （在MSDN中查到跟SQL有关的，一大堆）之外。。还查到一个网站，里面似乎有相关文章，但是收钱的。。。请问楼主能不能给出文档相关连接？

5cdK9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4N6%4N6#2)9J5k6e0q4T1K9i4c8Q4x3X3g2U0L8$3#2Q4x3X3g2T1M7W2)9J5c8X3y4G2L8Y4c8W2L8Y4c8Q4x3X3f1I4j5X3W2@1i4K6u0r3N6$3g2T1L8r3!0Y4i4K6u0r3N6$3W2F1k6r3u0Y4i4K6g2X3k6r3#2D9
我只找到这个。。。还不知道是哪国的文字。。

........

我也是看了 WinDbg 目录下的 dml.doc。你搜到的链接里面好像也是啊！
2006-10-30 19:57
0
笨笨雄
雪    币： 846
活跃值： (221)
能力值： (RANK：570 )
在线值：
发帖
回帖
粉丝
私信
11 楼
谢谢楼上两位拉

我的观察不够仔细



我试试能不能把它翻译了，方便大家看
2006-10-30 21:19
0
小喂
雪    币： 191
活跃值： (41)
能力值： ( LV12，RANK：210 )
在线值：
发帖
回帖
粉丝
私信
12 楼
最初由 笨笨雄 发布
谢谢楼上两位拉

我的观察不够仔细


........

绝对支持
2006-10-30 21:57
0
garasmc
雪    币： 114
活跃值： (16)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
13 楼
Connected to Windows 2000 2195 x86 compatible target, ptr64 FALSE
Kernel Debugger connection established.  (Initial Breakpoint requested)
Symbol search path is: srv*d:\symbols*befK9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8X3#2K6k6r3I4Q4x3X3g2E0K9h3y4J5L8%4y4G2k6Y4c8Q4x3X3g2U0L8$3#2Q4x3V1k6V1L8%4N6F1L8r3!0S2k6q4)9J5c8Y4y4&6L8h3u0G2L8s2x3`.
Executable search path is:
Windows 2000 Kernel Version 2195 UP Free x86 compatible
Kernel base = 0x80400000 PsLoadedModuleList = 0x8046e8f0

kd> db nt!KeServiceDescriptorTable
8047cb60  00 00 00 00 00 00 00 00-00 00 00 00 00 00 00 00  ................
8047cb70  00 00 00 00 00 00 00 00-00 00 00 00 00 00 00 00  ................
8047cb80  00 00 00 00 00 00 00 00-00 00 00 00 00 00 00 00  ................
8047cb90  00 00 00 00 00 00 00 00-00 00 00 00 00 00 00 00  ................

系统服务描述表怎么是空的？
2007-3-7 17:15
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回