Отличить функцию от переменной в экспорте

Не знаю как там в ядре, а в ntdll большинство Rtl\Nt-функций начинается именно так - вызывается стандартная функция, которая ставит SEH, выполняет пролог, выделяет локальные переменные и сохраняет ebx,esi,edi

 

Выяснил причину происходящего, если в функции устанавливается фрейм обработки SEH, и плюс к этому у компилятора стоит оптимизация по размеру, то вот и получается такой пролог, сосбтвенно он можно сказать стандартный.

В ntdll.dll вроде как все функции Nt вообще без пролога, там они всего до заполняют два регистра и вызывают прерывание.

 

Даже с учетом новой добавки в алгоритм определения, функции определяются верно не более 90 процентов в ядре, полно таких которые начинаются от балды.

 

В ХР обычно не прерывание 2e, а команда SYSENTER, но суть не меняется) там даже код для прерывания остался.

чекай что первая команда push. если это она, скорее всего это функция

 

Да в том то и дело что многи начинаются еще и с mov, короче можно только сказать что это функция уверенно, но не наоборот.

 

ну чекай что первая команда mov или push. я думаю других фукнций там нету, поэтому можно будет однозначно сказать, что это функция

 

Можно посмотреть, как этот экспорт используется "компетентным" кодом - чтение/запись или исполнение.

 

по-моему, фиксапы - самый реальный способ

 

Nouzui
оптимизация ж часто используется вида
mov esi, offset function
...
call esi
...
call esi

так что тут можно жестко обломаться

 

Нет =) Видел в одном кернеле начало типа

Код (Text):

1. cmp dword ptr [esp+8], 0

 

AFAIK, в ХР теперь все ф-ции начинаются с mov edi, edi.
Для облегчения сплайсинга.

 

green
В апишных библиотеках почти все.

 

У меня XP, далеко не всё начинается с mov edi,edi

 

а это только с СП2 пошло вроде

 

Asterix
ну у меня SP2

 

В СП2 просто туча функций без пролога, сделал прогу, и просканил все загруженные модули этой функцией, целый список выдала ФУНКЦИЙ, которые начинаются непонятно с чего(это точно функции).

 

Denwer
Обойдись такой проверкой, как у меня она буквально несколько переменных не определяет.

 

Great

вообще-то да

 

Nouzui
ну о чем я и говорю) фиксапы будут далеко не только на переменные указывать
к тому же вызовы импортируемых функций вида call dword ptr [12345678] тоже будут профиксапены. так что не катит