Reajuste y depuración

Question

Por lo general, cuando me depuración con IDA I no venir a través de cualquier problema;sin embargo, con este proceso en particular (que es de 9.9 MB de tamaño antes de módulos) IDA insiste en que rebase cada vez que se inicia el proceso, que se congela IDA y me obliga a esperar un buen 20-30 minutos antes de que realmente comience.

¿Por qué hacer esto, y puedo de alguna forma de desactivar esto?Soy nuevo-ish depuración avanzada como esta tan de reajuste sólo hace un poco de sentido para mí.

Answer 1

En caso de que alguien encuentra esta página como lo hice yo, esto también puede ser causado si el DLL preferentes del punto de entrada ya está en uso se debe reajustar antes de que pueda continuar.

Para corregir esto, usted puede utilizar el ReBase.exe la herramienta que viene con el SDK de windows (o visual studio)

ReBase.Exe -b 7600000 myBadBasedDll.dll para que se reinicie la base de la dll a 0x7600000.A continuación, se debe hacer el reajuste en la IDA por última vez para hacer que tu bid en sync (o hacer un nuevo bid después de rebase)

Edit->Segments->Rebase Program...

En el nuevo menú active las casillas de verificación para Fix up Program y Rebase the whole image y debe ser bueno para ir.

Answer 2

Esta pregunta fue respondida por la Voluntad Donohoe en 31-05-2013.El sitio web en el momento de acceso es https://will.io/blog/2013/05/31/disable-aslr/

Como se explica en el sitio, surgió el problema (al menos en mi caso) como resultado de Diseño del Espacio de direcciones de la Aleatorización (ASLR).ASLR es activada cuando el DllCharacteristics campo de la PE Encabezado Opcional contiene la máscara IMAGE_DLL_CHARACTERISTICS_DYNAMIC_BASE que tiene un valor de 0x0040.

En mi caso la DllCharacteristics el campo fue 0x8160 así que claramente el 0x0040 la máscara estaba presente.

El recurrente reajuste problema se corrigió por lo tanto mediante la eliminación de la 0x0040 la máscara.Ajuste de la DllCharacteristics campo 0x8120 o 0x8100 hice el truco para mí.

NB: El DllCharacteristics el campo puede ser ubicado en un desplazamiento de 0x5E desde el principio de la PE Firma de Desplazamiento cuando se utiliza un Editor Hexadecimal.