逆向調(diào)試符號
定義
調(diào)試符號是被調(diào)試程序的二進制信息與源程序信息之間的橋梁，是在編譯器將源文件編譯為可執(zhí)行程序的過程中為支持調(diào)試而摘錄的調(diào)試信息。調(diào)試信息包括變量、類型、函數(shù)名、源代碼行等。
格式分類
1.SYM格式
SYM格式早期用于 MS-DOS 和 16位Windows系統(tǒng)，現(xiàn)在只作為Windows9x的調(diào)試符使用（因為Windows9x系統(tǒng)的多數(shù)內(nèi)核仍然是16位的）
2.COFF格式
COFF格式（Common Object File Format）是UNIX供應商所遵循規(guī)范的一部分，由WindowsNT2.1首次引進使用?，F(xiàn)在，微軟逐漸拋棄了COFF格式，轉(zhuǎn)而使用更為流行的符號表達式。
3.CodeView格式
CodeView（CV）最早是在MS-DOS下作為Microsoft C/C++ 7的一部分出現(xiàn)的，現(xiàn)在已經(jīng)支持Win32系統(tǒng)了。“CodeView”是早期微軟調(diào)試器的名次，其支持的調(diào)試符號為C7格式。C7格式在執(zhí)行模塊中是自我包含的，符號信息與二進制代碼混合（意味著調(diào)試方式會非常大）
4.PDB格式
PDB（Program Database）格式是現(xiàn)今最常用的一種符號形式，是微軟自己定義的未公開格式。Visual C++和 Visual Basic 都支持PDB格式。與“CV”不同的是，PDB符號根據(jù)應用程序不同的鏈接方式保存在單獨的或多個文件中。
5.DBG格式
DBG是系統(tǒng)調(diào)試符。有了系統(tǒng)調(diào)試符，調(diào)試器才可以顯示系統(tǒng)函數(shù)名。DBG文件與其他符號格式不同，因為鏈接器并不創(chuàng)建DBG文件。DBG文件基本上是一個包含其他調(diào)試符的文件（例如包含COFF或C7等類型的調(diào)試符）微軟將操作系統(tǒng)調(diào)試符分配在DBG文件中。當然，這些文件中只包含公用信息和全局信息，例如ntdll.dbg、kernel32.dbg等。
6.MAP文件
MAP文件是程序的全局符號、源文件和代碼行號信息的唯一文本表示方式。MAP文件在任何地方、任何時候都可以使用，不需要程序支持，通透性極好。
生成調(diào)試符號的工具
1.Dumpbin
介紹
dumpbin.exe在VS的VC目錄下，通過dumpbin命令來獲取dll文件或者lib文件里面包含的函數(shù)
使用方法
- 導出dll文件里的函數(shù)：
dumpbin.exe /exports xxx.dll /out xxx.txt - 導出lib文件里的函數(shù)：
dumpbin.exe /exports xxx.lib /out xxx.txt
2.Flirt
介紹
利用flirt工具針對lib文件生成對應的sig文件，然后導入ida中可以自動識別出函數(shù)名，ida導入sig文件后生成對應的map文件可導入OD中識別函數(shù)名，實現(xiàn)“動靜結(jié)合”的調(diào)試方式
使用方法
進入flirt文件夾目錄，找到如下圖所示的兩個可執(zhí)行文件
執(zhí)行以下命令生成對應的sig文件
pcf.exe xxx.lib xxx.pat //創(chuàng)建模式文件(pat文件)
sigmake.exe xxx.pat xxx.sig //創(chuàng)建簽名文件(sig文件)
將sig文件拖入ida目錄下的sig文件夾
打開ida導入對應的sig文件
利用ida生成map文件,隨后將map導入od
3.IDR
介紹
IDR用于生成逆向delphi語言的調(diào)試符號, 可以準確獲取各種事件的位置, 也可以生成map配合OD進行分析
使用方法
打開IDR,將delphi編寫的程序拖入IDR中,然后IDR會加載一段時間
切換到forms,并且勾選上form,下面三行字代表程序的各種事件
如下圖所示,edit表示編輯框,bitbtn表示按鈕,右邊的窗口界面記錄著對應事件的匯編代碼
利用IDR生成delphi語言的map,隨后可導入OD進行動態(tài)分析
文章來源：http://www.zghlxwxcb.cn/news/detail-457534.html
?文章來源地址http://www.zghlxwxcb.cn/news/detail-457534.html
到了這里，關于生成逆向調(diào)試符號的幾款工具的文章就介紹完了。如果您還想了解更多內(nèi)容，請在右上角搜索TOY模板網(wǎng)以前的文章或繼續(xù)瀏覽下面的相關文章，希望大家以后多多支持TOY模板網(wǎng)！
