我想识别由 Windows 32 或 64 可执行程序进行的所有后期绑定调用。我可以通过 IAT 查看导入的函数,但我无法列出程序调用期间调用的函数。
有没有办法做到这一点?
我想识别由 Windows 32 或 64 可执行程序进行的所有后期绑定调用。我可以通过 IAT 查看导入的函数,但我无法列出程序调用期间调用的函数。
有没有办法做到这一点?
Dependency Walker是您的朋友。
请注意,这几乎是不可能找出哪个单独的静态分析库/入口点的计划用途,因为琴弦传递LoadLibrary
和GetProcAddress
可能被混淆,即在二进制不可见。Dependency Walker
在运行时捕获这些调用,这意味着 a) 您需要运行该程序 - 如果它是已知的恶意软件,这可能是不可取的 - b) 如果您不执行该代码路径,它仍然可能会遗漏某些内容。但是在这些限制范围内,它是您可以获得的最好的。