windows内核私有符号结构转储

最后的戴托纳 · 发表于 2021-9-3 17:15

本帖最后由最后的戴托纳于 2021-9-3 17:27 编辑

相当一部分windows内核结构体并不会出现在公有符号中
列如_DEBUG_OBJECT结构该结构在windows公有符号中无法搜索

而实际上该结构在win7 7600中为

[C++] 纯文本查看 复制代码

typedef struct _DEBUG_OBJECT
{
        /* 0x0000 */ struct _KEVENT EventsPresent;
        /* 0x0018 */ struct _FAST_MUTEX Mutex;
        /* 0x0050 */ struct _LIST_ENTRY EventList;
        /* 0x0060 */ unsigned long Flags;
        /* 0x0064 */ long __PADDING__[1];
} DEBUG_OBJECT, *PDEBUG_OBJECT; /* size: 0x0068 */

使用windbg加载私有符号进行验证

同理还有更多结构体被隐藏他们均不会出现在公共符号中如果用IDA加载私有符号则情况如下(IDA伪代码未做任何修改只是单纯的加载私有NT内核符号)

转储项目来源于pdbex (该项目转储自带部分BUG 对私有符号兼容性有一定问题所以部分结构可能出现小差错)
如需其他内核驱动模块转储请留言 (github issuse或者此贴当中均可)

该项目github地址:https://github.com/DragonQuestHero/WindowsKernelPrivateSymbolsDump
考虑到可能会有更新的情况帖子当中就不提供下载了最终均以github最新版本为准

官本三竹 · 发表于 2021-9-3 20:01

稍微一点，超纲了。没看明白

vzzmieshenquan · 发表于 2021-9-3 20:53

nb，去 star 了

yuyi0 · 发表于 2021-9-4 09:04

感谢分享

xuysss · 发表于 2021-9-4 12:09

感谢分享

168pojie · 发表于 2021-9-4 12:50

谢谢分享

dukeimp · 发表于 2021-9-5 11:02

官本三竹发表于 2021-9-3 20:01
稍微一点，超纲了。没看明白

哈哈哈，我也是

ueberich · 发表于 2021-9-6 13:53

不明觉厉

帐号		自动登录	找回密码
密码			注册[Register]

[系统底层] windows内核私有符号结构转储

免费评分

个人中心