DLL-IDA上的动态分析

#1 楼

基于此答案，rundll仅支持具有特定签名的运行功能。我建议编写一个简单的可执行文件来加载它。例如，在c中，您可以调用LoadLibrary（“ yourdll.dll”），然后调用GetProcAddress（“ yourfunc”），然后以这种方式进行调用。有关更多信息，请参见MSDN（链接）。

在IDA中，然后将可执行文件作为进程，但将dll作为输入文件。这将允许您设置IDA将在加载dll时设置的断点。它也使您可以控制参数，因为您只需从命令行传递它们即可。

#2 楼

IDA Pro具有称为AppCall的机制，该机制基本上允许您设置函数的参数并直接调用它。简而言之，Appcall是一种机制，用于从调试器或脚本中调用已调试程序内部的函数，就好像它是内置函数一样。如果您使用过GDB（调用命令），VS（立即窗口）或Borland C ++ Builder，那么您已经熟悉了这种功能。


现在，这可能不是直接的适用于您的情况，我想创建一个小的包装程序并在其上使用appcall可能会使事情变得更容易。