Здесь предлагаю обмениваться опытом использования, настройки этой тулзы.

Сегодня в Options->Color настроил основное окно дизассемблера все в старом классическом стиле Borland ща стало или в стиле Far(для справки первая версия была написана на Borland C++), но когда подносишь курсор на jne\je то в хинте появляется фон бежевый. Вот никак не могу найти место где это настраивается?! Может кто шарит ? )

-----
My love is very cool girl.

Кто знает как убрать этот коммент? По причине неправильной обработки входных параметров, ИДА подумала что по этому адресу лежит структура SECURITY_ATTRIBUTES, но её там нет.

.CODE:00CC6C08 ; struct _SECURITY_ATTRIBUTES

скрин шот покажи а то не совсем понятно
хотя скорее всего убираеться как комментарий
Shift+Ins
Ins
итд
там что то еще с контралом связано

reversecode пишет:
Shift+Ins
Ins
Ест-но нет, не убирается. Чем поможет скриншот?

ИДА создала структуру и поставила коммент. Я убрал структуру, ибо нет её там на самом деле. Комент остался.

http://img3.imageshack.us/img3/2595/idacomment.jpg
один из этих пунктов всегда срабатывает

Да дело не в коментах - я же сказал. Если ты не в теме зачем постишь? Надо удалить саму структуру, то что я её андефайнил этого мало, нужно именно удалить.

Добавлено:
Вообщем я считаю что это баг. Логичного способа убрать наглый комент я не нашёл.

дествительно я не понял...

потому и попросил скрин шот

Y, del, enter

reverser
Спасибо! А почему оно само не убирается?

ну так коментарии и типы разные вещи
тогда да Y убрать тип

reversecode пишет:
ну так коментарии и типы разные вещ
С точки зрения ассемблера это комент.

Добавил структуру SRB_IO_CONTROL в окно структур. Пытаюсь обозвать все стековые переменные как поля этой структуры. Как упростить это дело? Пробовал добавить в Stack Frame структуру на место первого её поля, но все равно на месте HeaderLength IDA предлагает сделать Timeout.



после автоматики:

Как в дизассемлере (IDA pro 5.2), в описании внешней функции, явно указать через какие регистры передаются параметры?

в хелпе написано:
"IDA supports the user defined calling convention. In this calling convention the user can explicitly specify the locations of arguments and the return value. For example:

int __usercall func<ebx>(int x, int y<esi>);"
Однако при попытке сделать
int __fastcall readreg<eax>(char *i2c<eax>, char addr<edx>)
(я знаю, что именно через эти регистры передаются параметры)
она ругается "Bad declaration" - "
Illegal argument location specification
Command "SetType" failed

Как правильно указать регистры?

вот так как написано на примере и делаете
а не выдумываете что то свое

Спасибо, дошло!
нужно именно __usercall а не __fastcall

Столкнулся с одной небольшой багой ИДЫ. Разобрался и дабы другие на грабли не наступали.

Выше обсуждался макрос самой ИДЫ
unicode macro page,string,zero
irpc c,<string>
db '&c&', page
endm
ifnb <zero>
dw zero
endif
endm

Так вот она смело сворачивает под этот макрос строки содержащие символ '%', например следующая строка:
unicode 0, <Could not find imported function in DLL %s>, 0

Скомпилировать сие чудо не удастся с получением серии ошибок
Assembling: L1_bl17.asm
L1_bl17.asm(64) : error A2006: undefined symbol : s
unicode(1): Macro Called From
L1_bl17.asm(64): Main Line Code

а листинг конца нашей юникод строки будет неожиданым
00000328 20 00 2 db ' ', 0
0000032A 30 00 2 db '0', 0
0000032C 0000 1 dw 0

А причина в том, что символ '%' в текстовом макро означает вычисление строки. И в нашем случае переменной 's' нет о чем мы получили сообщение и результат вычисления выражения и подстановки - 0 в текстовом виде попал в нашу строку.

для обхода этой каки нужно перед % поставить ! (чего не делает ИДА)
unicode 0, <Could not find imported function in DLL !%s>, 0
и тогда будет вам счастье

Скажите пожалуйста, а можно ли приспособить Иду для отладки драйверов ядра windows vista или xp?
Например по тому же принципу, как это делает windbg - на соседней машине по com, 1394 или даже tcp.
Удаленная отладка exe и dll в Ida есть, а вот про удаленную отладку .sys я не нашел.
Это возможно? И если да, то где об этом почитать?

Custler
В последней версии можно. В доступных на паблике - нет.

Спасибо!
А последняя - это 5.5? которая на оф. сайте? или ещё более следующая, которая вообще нонпаблик?

P.S. Все ответы нашел в блоге - http://hexblog.com/2009/01/kernel_debugging_with_ida.html