FakePDB

伪造

从IDA Pro数据库生成PDB的工具

支持：

• ida> = 7.4

下载

• Windows AMD64

如何安装

• 艾达
  • 将binaries.zip/ida的内容复制到<IDA_directory>/plugins

如何使用

此插件中有几个功能：

PDB文件生成

• 在IDA中打开目标可执行
• Edit - > FakePDB > Generate .PDB file （或Ctrl + Shift + 4 ）
• 从IDA数据库目录获取PDB文件

PDB可以选择包括功能标签的符号：使用Generate .PDB file (with function labels) （或Ctrl + Shift + 5 ）。

LIB文件生成

• 在IDA中打开目标可执行
• Edit - > FakePDB > Generate .LIB file
• 从IDA数据库目录获取LIB文件

IDA数据库导出到.json

• 打开目标可执行文件> = 7.0
• Edit - > FakePDB > Dump info to .json （或Ctrl + Shift + 1 ）
• 它将在.idb文件附近生成filename.json

二进制签名搜索

• 打开目标可执行文件> = 7.0
• 在目标函数开始时设置光标
• Edit - > FakePDB > Find signature （或Ctrl + Shift + 2 ）
• 签名将显示在IDA控制台中

功能名称从.json文件导入

• 打开目标可执行文件> = 7.0
• Edit - > FakePDB >从.json（或Ctrl + Shift + 3 ） Import offset from .json

必需的文件格式：

{
   "function_name_1" : " 0001:123456 " ,
   "function_name_2" : " 0001:254646 " ,
   "function_name_X" : " XXXX:YYYYYY " ,
   "function_name_Y" : " 0x0124567AF " ,
}

在哪里：

• XXXX ：PE部分的数量
• YYYY ：偏离小数数的截面的开始
• 0x0124567AF：IDA有效地址

托多

• Linux支持
• Ghidra支持
• 功能参数支持
• IDA 9.0：结构出口

有用的链接

• 在WINDBG中禁用PDB验证http://ntcoder.com/bab/2012/03/06/how-to-force-symbol-loading-in-windbg/
• 在MSVS中禁用PDB验证

提及

• 2019年，Google Project Zero：Adobe阅读器符号的故事
• 2021年，Gerhart X。：初学者的Hyper-V调试。第二版。
• 2022年，Google Cloud：Windows中的模糊图像解析，第四部分：更多HEIF

谢谢

灵感来自：

• pe_debug http://pefrm-units.osdn.jp/pe_debug.html

基于：

• LLVM项目https://llvm.org/
• LLD项目https://lld.llvm.org/

还要看：

• bao https://github.com/not-wlan/bao