Reverse Engineering der NLT II

[Shihan]

Wenn ich mir Dein Video ansehe, muss ich sagen: WAHNSINN!
Hast ja richtig Fortschritte gemacht, weit über das hinaus, was ich damals geschafft habe. Super Sache!

Hatte leider noch keine Zeit mir Ghidra näher anzuschauen, aber versuche es diese Woche noch.
Was mir noch (weniger) Lustiges aufgefallen ist: Sowohl der Code im DosBox Debugger als auch seltener der aus dem WCDATool stimmen an manchen Stellen nicht. Es werden die Bytessequenzen nicht richtig zerlegt, dh. nicht an den eigentlichen Befehlsgrenzen. Hier hilft dann nur Kreuzlesen, meistens erkennt man aber ganz gut, wenn die Abfolge und Art der Befehle keinen Sinn ergibt. Bin gespannt, wie sich Ghidra da schlägt. Meintest du das mit "Ghidra stolpert ab und an über das Disassembly"? Da ist es vielleicht ganz gut, mehrere Disassemblies zu haben.

Genau das meinte ich. Am treffsichersten ist der Debugger der Dosbox, aber nur, wenn man step-by-step durchgegeht. Ghidra und das wcdatool machen statische Analyse, die nicht immer richtig sein muss. Wenn man aber alles zusammen nimmt, dann bekommt man schon den richtigen Eindruck, hoffe ich

Nachdem jetzt noch einige Codestellen dazukamen, zu denen es keinen versionsübergreifend eindeutigen Suchstring gibt,
habe ich mich entschieden, statt Suchstrings jetzt doch reguläre Ausdrücke zu verwenden. Alternative wäre gewesen, kurz davor oder danach eine Stelle zu suchen, zu denen es einen Suchstring gibt, und die echte Stelle dann noch mittels Offset anzugeben, aber die Bytezählerei war mir zu aufwendig.

Ich versuche die Tage mal, mittels Python-Skript diese Stellen im Ghidra-Disassembly zu finden.
Aktuell bin ich aber mental wieder etwas schlechter dran, daher wird es noch einige Zeit dauern, bis ich was Neues habe.