symstore如何计算目录哈希值

Question

我正在寻找symstore用于创建目录名称的哈希算法.我发现此链接Microsoft符号服务器/本地缓存哈希算法描述了用于生成哈希的数据元素,但它没有详细说明如何计算哈希值.我有兴趣看看symstore如何生成哈希目录,如果有人有任何可以显示的示例代码,那就太棒了!

Answer 1

symstore.exe计算哈希目录名称,如下所示:

对于PDB文件,使用GUID + Age.这是一个python示例:

pdb = pdbparse.parse("some.pdb")
pdb.STREAM_PDB.load()
guid = pdb.STREAM_PDB.GUID
guid_str = "%.8X%.4X%.4X%s" % (guid.Data1, guid.Data2, guid.Data3,
                               guid.Data4.encode("hex").upper())

symstore_hash = "%s%s" % (guid_str, pdb.STREAM_PDB.Age)

对于PE(exe/dll)文件,使用TimeDateStamp(来自IMAGE_FILE_HEADER)和SizeOfImage(来自IMAGE_OPTIONAL_HEADER).这是一个python示例:

pe = pefile.PE("some.exe")

symstore_hash = "%X%X" % (pe.FILE_HEADER.TimeDateStamp,
                          pe.OPTIONAL_HEADER.SizeOfImage)

下面是一个示例python脚本,它为PDB和PE文件打印symstore哈希值:

https://gist.github.com/lennartblanco/9a70961a5aa66fe49df6

Answer 2

不确定您是否已经查看过此内容，但这是描述符号存储过程的美国专利。正如您可以想象的那样，它非常密集，但它确实非常详细地描述了如何扩展和删除符号存储目录（特别是在第 6、7、8 节中）。希望这可以帮助您或为您指明正确的方向。