Unbekannte DLL Funktionsaufbau ermitteln

[chaosben]

nAbend!

Ich brauch mal einen Tip oder Schubbs in die richtige Richtung. Ich habe eine DLL von der ich nur die Funktionen kenne, die sie exportiert. Auf welchem Weg bekomme ich heraus, wie die Funktions-Köpfe (Parameter, Rückgabe, stdcall|cdecl) aussehen?
Sieht man sowas im Dissassembler? Und wenn ja, woran? Oder geht es einfacher?

Werft mir einfach mal ein paar Stichworte an den Kopf - vielleicht reicht das schon. :)

[sirius]

Aus einer normalen DLL bekommst du nix raus. Auch der ASM-Code hilft dir recht wenig. Der könnte dir zwar ein paar Hinweise geben, aber i.A. reichen die nicht aus.

[Remko]

Your best bet is using Ida, there is a freeware version @http://www.hex-rays.com/idapro/idadownfreeware.htm. Ida will tell you at least the calling convention and the number of parameters. If you have a PDB (eg if it's a microsoft dll, IDA will download the PDB from Microsoft for you) for the file chances that you might get some of the parameters are likely.

What DLL is it?

[chaosben]

Its the WirelessService.dll from a HTC Smartphone running Window Mobile 6 (The dll is was developed by HTC). I still tried IDA but it crashes while "setting traget processor to 'arm'".

[brechi]

darfst sie uppen? dann mach das mal bzw schick sie mir :)

[Noinini]

Schon mal mit Dependency Walker versucht? Ein ziemlich cooles Tool, dass Dir alle notwendigen Informationen geben sollte!

[chaosben]

Hmmm .. der Dependency-Walker sagt mir die Funktionen. Kann er mir aber auch sagen, wie diese aufgebaut sind?

[Noinini]

Verdammt! Ich habe das Ding ewig nicht mehr gebraucht und daher vergessen, dass es leider nicht bei allen Funktionen die gewünschten Informationen liefert.
Hab's gerade noch mal ausprobiert, wenn Du in der aktuellen Version unter "View" "Undecorate C++ Commands", bzw. über den Button oder F10 gehst, kannst Du bei einigen dlls, z.B. der msvcrt.dll tatsächlich die Parameter zu den C++ Funktionen sehen.
Sorry, dass ich Dich da auf die falsche Fährte geführt habe...
:duck:

[chaosben]

Ist ja kein Problem. :) Danke für den Hinweis.

Besser einen misslungener Versuch, als gar keiner.

[OldGrumpy]

Was willst Du denn eigentlich mit dem Wireless Monitor Service anstellen? Das Ding wird doch sicherlich eine entsprechende API haben, oder?

[chaosben]

Eine API-Doku konnte ich bisher nicht auftreiben.

Im Prinzip suche ich ein Möglichkeit, WLAN-Packete zu capturen. Mehr nicht. Und bei der Suche bin ich auf diese DLL gestoßen, deren exportierte Funktionen vielversprechend aussehen.

[Christian Seehase]

Moin Benjamin,

vielleicht wäre dann WinPCap was für Dich.

[Remko]

The DLL seems to be for Windows Mobile, so do you want to run the capturing on a Windows Mobile device?

[chaosben]

Ja, ich will mit dem PDA capturen.

Ich weiß, eigentlich müsste ich erstmal den WLAN-Chip untersuchen, ob der das unterstützt. Dann müsste ich eventuelle den Treiber modden (so ich Sourcen bekomme) oder einen neuen Treiber schreiben.

Aber ganz ehrlich: Dafür reichts im Moment noch nicht (rein vom Wissen her). Es sei denn, einer von euch sagt: "Hey, das ist doch easy. Nimm dies und das und jenes, kompilier es und spiel dann an diesem Paramter rum." Dann würde ich doch den richtigen Weg gehen. :)

[Olli]

Zitat:

Zitat von Remko

Ida will tell you at least the calling convention and the number of parameters.

It'll only tell you its best guess. For most standard (not packed/not crypted) files this is a fairly good bet, but for others it might be very wrong. Especially when __fastcall (aka register in Delphi) in its variations comes in, the whole thing can become quite tricky. I've come across some pretty neat variations recently where code is being created in memory and the register variations are completely different from any compiler known to me.

But with the newest IDA version Ilfak had implemented custom calling conventions and that works pretty well :mrgreen:

@chaosben: Die DLL ist für einen anderen (nicht x86/x64) Prozessor kompiliert?

[chaosben]

Joa, die DLL ist für einen ARM (wahrscheinlich v4) compiliert.

[Olli]

Jupp, dafür brauchst du mindestens IDA Pro Standard. Die Freeware-Version kann nur x86 und nur PE-Dateien.

[chaosben]

Hmmm ich dachte es mir fast. Danke für die Hilfe.

Ich habs nun aufgegeben, weil ich festgestellt habe, das der WLAN-Chip keinen Monitor-Mode kann.

[Olli]

Ich kann gern mal versuchen reinzugucken, auch wenn meine Kenntnisse fuer diesen Prozessortyp begrenzt sind. Habe eine Lizenz von IDA Pro Advanced ;) ... aber in jedem Fall kann ich mir die Datei nicht aus den Rippen schneiden. Wenn Interesse, dann schick es mir per Email zu und nenne mir die Funktion(en) welche von Interesse ist/sind.

[chaosben]

Danke Olli, für das Angebot. Aber wie gesagt, ich habs inzwischen aufgegeben. Da würdest du dir sinnlos Mühe machen.

[richard_boderich]

Kann mir mal einer sagen was hier los ist? Leute ihr solltet euch mal festlegen welche Sprache ihr nutzt. Teils Deutsch
teils Englisch kanns nun wirklich nicht sein, oder?

Zum Thema

Wie meine DP Kollegen schon sagten, wird hier nur "Reverse Engeneering" etwas bringen. (Außer du findest eine Doku der DLL Funktionen im Inet). Besagte Tools wie Dependency Walker und ein Dissassembler leisten da gute Dienste. IDA Pro bietet sich
besonders für statische Dissassemblierung an, da es eine Menge Funktionen zur Analyse bietet. (Procedure/Funktionsnamen, Api Calls usw.

mfG Richard

[Olli]

Zitat:

Zitat von richard_boderich

Kann mir mal einer sagen was hier los ist? Leute ihr solltet euch mal festlegen welche Sprache ihr nutzt. Teils Deutsch teils Englisch kanns nun wirklich nicht sein, oder?

Remko versteht zwar Deutsch, ist aber nicht so sicher beim verfassen von Texten in Deutsch. Da ich ein Zitat von ihm beantwortet habe, war es in Englisch.