題:
將標籤和註釋保存在Immunity Debugger中
AK-33
2015-08-21 13:47:43 UTC
view on stackexchange narkive permalink

我正在使用Immunity Dbg v1.85（迄今為止的最新版本）。我花了大約一個小時來分析一種惡意軟件，同時對X.00402AC0之類的內容進行註釋和重新標記功能，再到X.password_checker之類的更有用的內容。修補該惡意軟件以跳過密碼檢查器功能（“複製到可執行文件”>“所有修改”）並將其保存到新文件後，在調試器中打開修補版本後，我發現我的所有註釋和標籤更改都消失了。

有趣的是，當您終止調試器，然後重新打開未打補丁的原始可執行文件時，註釋和標籤仍然保留。只有將二進制修改保存到新文件時，它們才會丟失。不用說，這在處理需要修補和共享的複雜二進製文件時會帶來很大的麻煩。

有什麼方法可以將對標籤和註釋的更改保存到Immunity中的新可執行文件中？

二 答案:
Vitaly Osipov
2015-08-23 03:41:41 UTC
view on stackexchange narkive permalink

Google找到了這些鏈接。他們有幫助嗎？

http://www.openrce.org/forums/posts/2072

http：//fumalwareanalysis.blogspot .com / 2012/01 / malware-analysis-tutorial-12-debug.html

感謝您的幫助。我需要詳細研究這些內容並進行實驗。這些教程涉及在分析可執行文件時保存註釋以及在處理由可執行文件調用的DLL文件時如果未保存註釋該怎麼辦。修補二進製文件時，將其保存到新的可執行文件中，並且在打開新的可執行文件之前不會創建新的UDD文件，因此我認為保存在原始可執行文件UDD中的任何數據都不會被傳輸。
在我自己的研究中，我發現在OllyDbg 2.0中可能要做的事情。我可能只需要硬著頭皮切換一下。 gh ...
Igor Skochinsky
2017-09-11 21:44:25 UTC
view on stackexchange narkive permalink

要保留所提及的 OpenRCE論壇主題中的信息，我在此處粘貼了相關信息：

OllyDbg v1.10丟棄.UDD數據的其他原因是：

1）文件路徑名的更改，例如xxx.exe從“ c：\ xxx.exe”移至“ c：\ new \ xxx.exe”。

您可以設置“忽略路徑和擴展名”選項來繞過此檢查。

p>

2）文件的LastWrite時間更改。

您可以設置“忽略時間戳”選項來繞過此檢查。

3） A自上次會話以來，代碼段的CRC發生了變化。

您可以設置“忽略代碼段的CRC”選項來繞過此檢查。

我認為您有這種情況3。



ⓘ
該問答將自動從英語翻譯而來。原始內容可在stackexchange上找到，我們感謝它分發的cc by-sa 3.0許可。
Loading...