在某些Microsoft二进制文件上执行RE时,我一直都在运行COM对象引用。是否有一个很好的中心位置可以将我发现的某些GUID转换为某种对象类型,而不必将其跟随到某个已知的父对象(如果我很幸运的话)?建立这样的存储库会有兴趣吗?

#1 楼

这里有这样的列表:

http://mikolajapp.appspot.com/uuid/uuidmap

如果使用IDA,请考虑启用COM Helper插件。创建GUID结构的实例时,它将检查从cfg / clsid.cfg加载的列表,如果找到匹配项,则会自动重命名该位置,并尝试从已加载的类型库中导入“ <Classname>Vtbl”结构,以便您可以开始使用该结构识别被称为方法的方法。

这是一个简短的演示:



评论


感谢您的回复伊戈尔。您是否知道对于某些通常不在Microsoft Symbols中公开的COM对象(例如IE和一些更专门的Win32k和Office对象)是否存在任何类型库。我会用艰辛的方式让他们中的很多人受益,如果有我可以回馈的地方,这样其他人就不必再经历同样的痛苦了,那将是很好的。

– Modoc
13年3月20日在2:05

不,从来没有听说过这样的事情。

–伊戈尔·斯科钦斯基♦
2013年3月20日14:00

不幸的是,mikolajapp.appspot.com似乎在某个时候坏了:它仍然可以响应HTTP请求,但是无论您要什么,它似乎都可以提供404。 (这给我留下了明显的印象,即它已被擦除并且从未重新部署。)某些存档服务极有可能设法找到了可下载版本的副本,但我没有发现它。

– SamB
16-09-30在19:30

#2 楼

我不知道任何存储库,但是Ole / COM对象查看器(oleview.exe)以相当方便的方式进行了许多取消引用。我认为大多数Visual Studios都附带它,并且它在各种Windows资源工具包中。

评论


嗯,您能具体一点吗?我在哪里粘贴要搜索的GUID?

– SamB
16-09-30在19:32