FakePDB

fakepdb

IDA ProデータベースからのPDB生成のツール

サポート：

• Ida> = 7.4

ダウンロード

• Windows AMD64

インストール方法

• アイダ
  • binaries.zip/idaのコンテンツを<IDA_directory>/pluginsにコピーします

使い方

このプラグインにはいくつかの機能があります。

PDBファイル生成

• IDAでターゲット実行可能ファイルを開きます
• Edit - > FakePDB > Generate .PDB file （またはCtrl + Shift + 4 ）
• IDAデータベースディレクトリからPDBファイルを取得します

PDBには、オプションで関数ラベルのシンボルを含めることができます： Generate .PDB file (with function labels) （またはCtrl + Shift + 5 ）を使用します。

libファイル生成

• IDAでターゲット実行可能ファイルを開きます
• Edit - > FakePDB > Generate .LIB file
• IDAデータベースディレクトリからLIBファイルを取得します

IDAデータベースは.JSONにエクスポートします

• IDAでターゲット実行可能を開く> = 7.0
• Edit - > FakePDB > Dump info to .json （またはCtrl + Shift + 1 ）
• .idbファイルの近くでfilename.jsonを生成します

バイナリ署名検索

• IDAでターゲット実行可能を開く> = 7.0
• ターゲット関数の開始にカーソルを設定します
• Edit - > FakePDB > Find signature （またはCtrl + Shift + 2 ）を見つける
• 署名はIDAコンソールに表示されます

.jsonファイルからの関数名

• IDAでターゲット実行可能を開く> = 7.0
• Edit - > FakePDB > .json（またはCtrl + Shift + 3 ） Import offset from .json

必要なファイル形式：

{
   "function_name_1" : " 0001:123456 " ,
   "function_name_2" : " 0001:254646 " ,
   "function_name_X" : " XXXX:YYYYYY " ,
   "function_name_Y" : " 0x0124567AF " ,
}

どこ：

• XXXX ：PEセクションの数
• YYYY ：小数点以降のセクションの開始からオフセット
• 0x0124567AF：IDA効果的なアドレス

トト

• Linuxサポート
• Ghidraサポート
• 関数引数のサポート
• IDA 9.0：構造輸出

便利なリンク

• Windbg http://ntcoder.com/bab/2012/03/06/how-to-force-symbol-loading-in-windbg/でPDB検証を無効にする
• MSVS https://stackoverflow.com/questions/38147487/forcing-to-load-unmatched-symbols-in-visual-studio-2015-debuggerでPDB検証を無効にします

言及

• 2019、Google Project Zero：Adobe Readerシンボルのストーリー
• 2021年、Gerhart X。：初心者向けのHyper-Vデバッグ。第2版​​。
• 2022、Google Cloud：Windowsでのファジング画像の解析、パート4：More Heif

ありがとう

に触発された：

• pe_debug http://pefrm-units.osdn.jp/pe_debug.html

に基づく：

• LLVMプロジェクトhttps://llvm.org/
• LLDプロジェクトhttps://lld.llvm.org/

また、次のようにしてください。

• bao https://github.com/not-wlan/bao