Canvas is not supported in your browser.
首页 课程 文章
无痕注入 APC注入 线程注入 读写驱动 注入技术 句柄表 进程线程 系统调用 保护模式 内存管理 远程CALL 软件调试 驱动封装 云下发 驱动开发 FPS数据 方框透视 FPS方框 FPS自瞄 CE D3DHOOK D3D绘制 Imgui绘制 DWM
内核课程 驱动出租 学习路线 聊天室 免责声明 提问技巧

高版本go语言符号还原

推荐 原创

周杰伦

文章分类 软件逆向 阅读数 : 467 阅读时长 : 9分钟

实例版本

2022.6.8: go version go1.18.3 windows/amd64
高版本适用 1.20

还原过程

搜索 go.build
图片描述
图片描述
查找交叉引用
图片描述

 

go.build 在新版本中一定位于 函数名称的第一个。

 

图片描述

 

https://go.dev/src/runtime/symtab.go
阅读源码，获取 moduledata 结构

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
/ / pcHeader holds data used by the pclntab lookups.
type pcHeader struct {
     magic          uint32  / / 0xFFFFFFF0
     pad1, pad2     uint8   / / 0 , 0
     minLC          uint8   / / min instruction size
     ptrSize        uint8   / / size of a ptr in bytes
     nfunc          int     / / number of functions in the module
     nfiles         uint    / / number of entries in the file tab
     textStart      uintptr / / base for function entry PC offsets in this module, equal to moduledata.text
     funcnameOffset uintptr / / offset to the funcnametab variable from pcHeader
     cuOffset       uintptr / / offset to the cutab variable from pcHeader
     filetabOffset  uintptr / / offset to the filetab variable from pcHeader
     pctabOffset    uintptr / / offset to the pctab variable from pcHeader
     pclnOffset     uintptr / / offset to the pclntab variable from pcHeader
}
 
 
 
type moduledata struct {
     pcHeader     * pcHeader
     funcnametab  []byte
     cutab        []uint32
     filetab      []byte
     pctab        []byte
     pclntable    []byte
     ftab         []functab
     findfunctab  uintptr
     minpc, maxpc uintptr
 
     text, etext           uintptr
     noptrdata, enoptrdata uintptr
     data, edata           uintptr
     bss, ebss             uintptr
     noptrbss, enoptrbss   uintptr
     end, gcdata, gcbss    uintptr
     types, etypes         uintptr
     rodata                uintptr
     gofunc                uintptr / / go.func. *
 
     textsectmap []textsect
     typelinks   []int32 / / offsets from types
     itablinks   [] * itab
 
     ptab []ptabEntry
 
     pluginpath string
     pkghashes  []modulehash
 
     modulename   string
     modulehashes []modulehash
 
     hasmain uint8 / / 1 if module contains the main function, 0 otherwise
 
     gcdatamask, gcbssmask bitvector
 
     typemap map [typeOff] * _type / / offset to * _rtype in previous module
 
     bad bool / / module failed to load and should be ignored
 
     next * moduledata
}

pclntable 一般等于 ftab， 参照上图， ftab 与 pclntable 填充的是 pclntable 的值。

 

funcnametab 填充的是 函数名称
图片描述
filetab 填充的是 文件名称
图片描述

 

与函数名称相关的是 ftab 和 pclntable
图片描述

 

适用于下面的结构体

1
2
3
4
type functab struct {
     entryoff uint32 / / relative to runtime.text
     funcoff  uint32
}

图片描述
entryoff 为 以代码段为起始位置 的偏移。表示该函数实际的位置。 代码段在windows为 text

 

funcoff 为 以 pclntable 为起始位置的偏移。

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
/ / src\runtime\symtab.go
type functab struct {
     entry   uintptr
     funcoff uintptr
}
 
type funcInfo struct {
     * _func
     datap * moduledata
}
 
/ / src\runtime\runtime2.go
type _func struct {
     entry   uintptr / / start pc
     nameoff int32   / / function name
 
     args        int32  / / in / out args size
     deferreturn uint32 / / offset of start of a deferreturn call instruction from entry, if any .
 
     pcsp      uint32
     pcfile    uint32
     pcln      uint32
     npcdata   uint32
     cuOffset  uint32  / / runtime.cutab offset of this function's CU
     funcID    funcID  / / set for certain special runtime functions
     _         [ 2 ]byte / / pad
     nfuncdata uint8   / / must be last
}
 

意思就是: func 的 _func = pclntable + funcOff
通过上图的信息计算:

1
2
hex ( 0x504320 + 0x2c20 ) = '0x506f40'
hex ( 0x504320 + 0x2c48 ) = '0x506f68'

发现刚好可以对得上信息
图片描述

 

第一个函数 go.build

 

图片描述
第二个函数 internal_cpu_Initialize
图片描述

输出脚本

知道了这些就可以编写简单的脚本来还原go符号名了

 

ida python 脚本

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
import idc
from idc import *
import ida_nalt
 
moduledata_addr = 0x05289C0
pcHeader_addr = idc.get_qword(moduledata_addr)
 
if idc.get_wide_dword(pcHeader_addr) ! = 0x0FFFFFFF0 :
     print (idc.get_wide_dword(pcHeader_addr))
     print ( "错误，并不是一个正确的go文件" )
 
funcnametable_addr = idc.get_qword(moduledata_addr + 8 )
filetab_addr = idc.get_qword(moduledata_addr + 8 + (( 8 * 3 ) * 2 ))
pclntable_addr = idc.get_qword(moduledata_addr + 8 + (( 8 * 3 ) * 4 ))
pclntable_size = idc.get_qword(moduledata_addr + 8 + (( 8 * 3 ) * 4 ) + ( 8 * 4 ))
set_name(moduledata_addr, "firstmoduledata" )
set_name(funcnametable_addr, "funcnametable" )
set_name(filetab_addr, "filetab" )
set_name(pclntable_addr, "pclntable" )
 
print (pclntable_size)
 
def readString(addr):
     ea = addr
 
     res = ''
     cur_ea_db = get_db_byte(ea)
     while  cur_ea_db ! = 0 and cur_ea_db ! = 0xff :
         res + = chr (cur_ea_db)
         ea + = 1
         cur_ea_db = get_db_byte(ea)
     return res
 
def relaxName(name):
     # 将函数名称改成ida 支持的字符串
     #print(name)
     if type (name) ! = str :
         name = name.decode()
     name = name.replace( '.' , '_' ).replace( "<-" , '_chan_left_' ).replace( '*' , '_ptr_' ).replace( '-' , '_' ).replace( ';' ,' ').replace(' " ', ' ').replace(' \\ ', ' ')
     name = name.replace( '(' , ' ').replace(' ) ', ' ').replace(' / ', ' _ ').replace(' ', ' _ ').replace(' , ', ' comma ').replace(' { ',' ').replace(' } ', ' ').replace(' [ ', ' ').replace(' ] ', ' ')
     return name
 
cur_addr = 0
for i in range (pclntable_size):
 
     # 获取函数信息表
     cur_addr = pclntable_addr + (i * 8 )
 
     # 获取函数入口偏移
     funcentryOff = get_wide_dword(cur_addr)
     funcoff = get_wide_dword(cur_addr + 4 )
 
     funcInfo_addr = pclntable_addr + funcoff
 
     funcentry_addr = get_wide_dword(funcInfo_addr)
     funnameoff = get_wide_dword(funcInfo_addr + 4 )
     funname_addr = funcnametable_addr + funnameoff
     funname = readString(funname_addr)
 
     # 真实函数地址
     truefuncname = relaxName(funname)
     truefuncentry = ida_nalt.get_imagebase() + 0x1000 + funcentryOff
 
     print ( hex (truefuncentry), hex (funcoff), hex (funcInfo_addr), hex (funcentry_addr), hex (funnameoff), hex (funname_addr) ,funname)
     # 改名
     set_name(truefuncentry, truefuncname)
 
 
 
 
#print(hex(cur_addr))

其中 moduledata_addr 需要手动填充。

 

还原效果

 

图片描述

参考链接




更多【高版本go语言符号还原】相关视频教程：www.yxfzedu.com




相关文章推荐

记录自己的技术轨迹
文章规则：
1)：文章标题请尽量与文章内容相符
2)：严禁色情、血腥、暴力
3)：严禁发布任何形式的广告贴
4)：严禁发表关于中国的政治类话题
5)：严格遵守中国互联网法律法规
6)：有侵权,疑问可发邮件至service@yxfzedu.com
近期原创 更多
友情链接
内核结构 FAQ
免责声明
课程目录
Windows内核
游戏逆向(FPS)
技术交流QQ群
342478842 215039827 137189196
314055665 159620936
微信公众号
www.yxfzedu.com是一个分享游戏安全,游戏外挂与反外挂,游戏驱动保护的视频网站！
接各种驱动定制如：游戏读写驱动，软件内存保护，防止调试等功能定制。
出租读写驱动，调试驱动，无痕注入支持各种游戏。
邮箱：service@yxfzedu.com
QQ：851920120
特别说明：不接游戏数据分析，外挂编写，登陆协议等类似业务。