Ich kenne die genaue Länge der Saite nicht. Hier sind jedoch einige Dinge zu beachten:

Ghidra und IDA haben eine Mindestgrenze für die Größe der Zeichenfolge, um den korrekten Typ wiederherzustellen (Ghidra hat eine Grenze - oder eine Untergrenze von 5).
Dies ist erforderlich, um Fehlalarme oder widersprüchliche Typen zu vermeiden. Und stellen Sie die richtigen Typen wieder her, ohne einen Zeiger als Zeichenfolge zu markieren. Schauen Sie sich diese Abbildung als Referenz an. Generiert mit Ghidra automatisierter Analyse.

In Ghidra können Sie diese Grenze (mindestens 4) im Analysebereich ändern.

StringsDer Befehl gibt druckbare Zeichen mit einer Mindestgröße von 4 aus (außerdem werden keine ausgeklügelten Typwiederherstellungsalgorithmen wie Ghidra oder Ida verwendet). Ich glaube, dass Sie eine Saite mit einer Länge von weniger als 5 haben und ich vermute, dass es 4 sein muss, um genau zu sein.
Zeichenfolgen werden normalerweise im .rodataAbschnitt definiert . Wenn Sie auf DAT_xxxx doppelklicken, gelangen Sie zu dem Ort, an dem diese Zeichenfolge definiert ist. Dort sehen Sie aufeinanderfolgende Bytes, die von Ghidra oder IDA gebündelt wurden (siehe Abbildung 1). Der Typ wird jedoch nicht als "Zeichenfolge" aufgelöst.
In Ghidra können Sie dies schnell beheben, indem Sie den Datentyp der Bezeichnung DAT_xxxx ändern: Klicken Sie mit der rechten Maustaste -> Daten -> Datentyp auswählen -> Zeichenfolge auswählen

Referenzen:

Ghidra + IDA kann keine Zeichenfolge erkennen, Radare2 jedoch

Antworten