25.03.2023, 19:00
(25.03.2023, 16:36)Shihan schrieb:(25.03.2023, 16:00)cmfrydos schrieb: Das Tool war der erste Google-Treffer auf meine Suche nach einem Watcom Disassembler. Wie gesagt, Assembler ist für mich Neuland. "Unter" C habe ich mich bisher nicht getraut. Daher kenne ich z.B. Ghidra gar nicht, aber sollte es mir wohl auch mal anschauen.
Ghidra stolpert ab und an über das Disassembly (keine Ahnung, welchen Ansatz die nutzen). Das Problem ist ja generell, dass man das richtige, echte Disassembly eigentlich erst zur Laufzeit bekommt, weil dann bei Sprüngen und Pointer-Aktionen die notwendigen Register-Inhalte gesetzt sind. Alles andere ist eigentlich kluges Raten.
Wie dem auch sei, im Großen und Ganzen passt der Code. Das Schöne ist, dass man durch den Code browsen kann. Z.B. einem Call folgen, schauen, an welchen Stellen auf eine Adresse geschrieben oder von ihr gelesen wird, etc.
Und es gibt auch die Möglichkeit, eine Konvertierung in eine mögliche C-Funktion zu machen. Die ist meistens ziemlich chaotisch und kompiliert garantiert nicht, aber Dinge wie if oder while kann man dann schon erkennen.
Lohnt sich also schon, da mal einzusteigen
Das sieht mal nach einer guten IDRE E aus ;D
Bisher mache ich das alles manuell. Schaue ich mir bald auf jeden Fall mal an. Wenn das mindestens genauso gut geht wie mit Notepad++ steige ich wahrscheinlich dann um.
Wäre schon cool, wenn man da irgendwie eine gemeinsame "Datenbasis" aufbauen könnte, und parallel über Git dran arbeiten kann. Also ähnlich wie bei BrightEyes, aber ersteinmal nur zur Analyse. Aber ich weiß noch nicht, ob das mit Ghidra gut geht. Auch das öffentliche Teilen der Disassembly halte ich für (rechtlich) schwierig, kann man daraus doch in Theorie die .exe rekonstruieren. Das Henne sich das getraut hat..
Da du jetzt den gleichen Output wie ich hast, brauche ich das nicht mehr teilen. Ich will dich nicht bremsen da ein Export Skript zu schreiben, aber vielleicht geht es leichter, wenn ich bei mir dann auch Ghidra einrichte.
Naja, also im Folgenden meine in den letzten Wochen gesammelten Adressen. Zum Automatisierten Parsen müsste man die unterschiedlichen Sektionen nochmal auseinandernehmen.
Zu den Adressen möchte ich noch erwähnen, dass es sich hierbei um bessere Abfangpunkte handelt, und nicht den Beginn einer Funktion. Z.T können mehrere Abfangpunkte in einer Funktion liegen, und manchmal muss man mehr als einmal abfangen, um zB. alle Infos zu einer Probe zu sammeln. Welche Register und Stackwerte wo genau spannend sind, ist denke ich hier erstmal nicht wichtig, und habe ich ausgelassen.
Was ich gerade noch suche ist (vielleicht mehr als Notizzettel für mich, oder für Interessierte ;D ):
![[+]](images/collapse_collapsed.gif "[+]")
Spoiler- Stelle an der Texte abgefragt werden. Komme ich wahrscheinlich schnell per Unterbrechung während einer Anzeige ran
- Aktueller Screen / State. Wurde mindestens z.T. auch als Stack gelöst (zB. der Speicherdialog über der 3D Welt). Entweder brauche ich eine Liste der aktuellen States, oder muss die Übergangsfunktion(en) finden und abgreifen (also zB. 3DWelt, Innerhalb eines Hauses, Im Dialog, Kampf, "Inventar", Gegenstandsverteiler, Abspielen von Video, Einstellungen, ...)
- Evtl. wo der größere SVGA Screenbuffer liegt (finde ich wahrscheinlich auch in der DosBox)
- In welchem Dungeon man sich befindet. Falls dort Aktionen ausgeführt werden, bekomme ich das schon mit, aber habe noch nicht die Variable und die Funktion zum Wechseln gefunden.
- Wann ein neuer Track abgespielt wird
Und, ganz wichtig, nochmal zurück zum Datei-Format Reverse-Engineering: Woher kommen bitte die %S().() Dateien in Temp? (z.B. %SBO1.BO1)
Da steht drin, welche Objekte der Welt über welchen Schlüssel (meistens die O.Nummer) verändert werden können. Wird entweder von der .exe generiert, oder steht noch versteckt in einem .ALF Archiv
(25.03.2023, 16:36)Shihan schrieb: Finde es großartig, dass Du hier eingestiegen bist und jetzt so viele gute Erkenntnisse gewonnen hast. Das hat mich motiviert, auch nochmal mehr einzusteigen.
Freue mich, dass wir da zusammen dran arbeiten.
Nur nach deinem Pacing. Habe gerade noch Semesterferien, werde in ein paar Wochen dann auch nicht mehr täglich dran arbeiten können.