FakePDB

Fakepdb

Ferramenta para geração PDB do banco de dados IDA Pro

Suportes:

• Ida> = 7.4

Download

• Windows AMD64

Como instalar

• Ida
  • copie o conteúdo de binaries.zip/ida ida para <IDA_directory>/plugins

Como usar

Existem vários recursos neste plugin:

Geração de arquivos PDB

• Open Target Executável em Ida
• Edit -> FakePDB -> Generate .PDB file (ou Ctrl + Shift + 4 )
• Obtenha o arquivo PDB do diretório de banco de dados IDA

Opcionalmente, o PDB pode incluir símbolos para rótulos de função: use Generate .PDB file (with function labels) (ou Ctrl + Shift + 5 ).

Geração de arquivos lib

• Open Target Executável em Ida
• Edit -> FakePDB -> Generate .LIB file
• Obtenha o arquivo LIB do diretório de banco de dados IDA

Banco de dados IDA Exportar para .json

• Open Target Executável em Ida> = 7.0
• Edit -> FakePDB -> Dump info to .json (ou Ctrl + Shift + 1 )
• Ele gerará filename.json .idb

Pesquisa de assinatura binária

• Open Target Executável em Ida> = 7.0
• Defina o cursor no início da função de destino
• Edit -> FakePDB -> Find signature (ou Ctrl + Shift + 2 )
• A assinatura será exibida no console da IDA

Nomes de funções importam do arquivo .json

• Open Target Executável em Ida> = 7.0
• Edit -> FakePDB -> Import offset from .json (ou Ctrl + Shift + 3 )

Formato de arquivo necessário:

{
   "function_name_1" : " 0001:123456 " ,
   "function_name_2" : " 0001:254646 " ,
   "function_name_X" : " XXXX:YYYYYY " ,
   "function_name_Y" : " 0x0124567AF " ,
}

onde:

• XXXX : número da seção PE
• YYYY : deslocamento desde o início da seção em números decimais
• 0x0124567af: endereço efetivo da IDA

PENDÊNCIA

• Suporte ao Linux
• Apoio Ghidra
• Função Argumentos Suporte
• IDA 9.0: Exportação de estruturas

Links úteis

• Desativar a validação do PDB em Windbg http://ntcoder.com/bab/2012/03/06/how-to-force-symbol-loading-in-windbg/
• Desative a validação do PDB em msvs https://stackoverflow.com/questions/38147487/forcing-to-load-unmatched-symbols-in-visual-studio-2015-debugger

Menções

• 2019, Google Project Zero: A história dos símbolos do Adobe Reader
• 2021, Gerhart X.: Depuração do Hyper-V para iniciantes. 2ª edição.
• 2022, Google Cloud: Fuzzing Image Parsing no Windows, Parte Quatro: Mais novilhas

Obrigado

Inspirado em:

• pe_debug http://pefrm-units.osdn.jp/pe_debug.html

Baseado em:

• LLVM Project https://llvm.org/
• LLD Project https://lld.llvm.org/

Também dê uma olhada em:

• Bao https://github.com/not-wlan/bao