@hzqst 在 分享一个利用LLM干逆向工程的神奇小妙招 中发帖

有时候我们会遇到这种情况： 
1、我们有幸拿到了某个版本的ntoskrnl.exe，但是巨硬不知道发什么疯把这个版本的pdb从msdl下架，我们只能下载到这个版本的上一个版本的pdb，那么如果我们想快速拿到这个版本的某个非导出函数/全局变量的地址，应该怎么办？ 
2、我们曾经逆向过某个win64程序，但是这个程序更新了，我们不想人力重新逆一遍，想依赖上一个版本的逆向结果快速拿到新版本的某个函数的逆向结果，应该怎么办？ 
在人力逆向时代，我们一般是开两个IDA窗口，目力观察两边明显一样的符号 
比如 
左边窗口： 
virtualaddress: '0x140821f20'
disasm_code: |-
  ; Exported entry 2045. PsSetCreateProcessNotifyRoutine

  ; NTSTATUS __stdcall(PCREATE_PROCE...
 
 
Back to Top