Salut,
Les unknown sont propres à la runtime justement parce qu'Ida détecte qu'elles ne sont employées que par des fonctions reconnues de la runtime, ou bien parce qu'elles ont été marquées comme appartenant à la runtime sans pour autant n’avoir été nommées (et non pas forcément identifiées).
Elles sont donc à distinguer des sub_qqchose (je ne dis pas ça pour toi mais éventuellement pour d'autres lecteurs moins familiarisés avec l’outil).
Pour vulgariser, sauf runtime full custom (que tu peux voir dans les démos ou dans de nombreux keygens), il y a toujours une partie de la runtime qui est embarquée, et ce même lorsque tu linkes en dynamique.
C'est la runtime C qui te permet par exemple d'utiliser les args de ton main directement lorsque tu linkes en sous-système console.
C’est aussi ce qui fait qu’un simple hello word pèse plusieurs kilos.
Celles-là ne portent pas de nom tout simplement parce qu'elles ne sont pas publiques et évoluent régulièrement au fil des mises à jour.
Tu n'as presque jamais à t’en soucier puisque ce qui t'intéresse se trouve presque toujours en aval.
Plusieurs d’entre elles sont d’ailleurs présentes sans pour autant n’être employées.
Ensuite lorsque tu linkes en statiques il y a toutes les fonctions non exportées utilisées par justement les fonctions exportées de la runtime (et embarquées dans ce cas de figure).
Celles là il faut tout simplement t’intéresser aux fonctions exportées qui les emploient plutôt qu'au détail.
La plupart du temps qui se soucie de savoir ce que fait un malloc de la runtime en interne ?
Enfin il y a les sous fonctions non nommées utilisées par le compilateur pour traduire certaines parties de ton code de façon invisible (la multiplication sur les long long dans un binaire 32 bits par exemple).
Celles là il faut les voir comme des petits snippets, elles sont souvent très simples à comprendre.
Ca c'est pour visual ou même le -C- de façon plus générale.
En delphi (par exemple) tu rencontreras parfois des unknown qui correspondent à des méthodes de classes.
Dans ce cas il te faudra soit les identifier manuellement, soit utiliser un tool spécifique si vraiment tu n'y arrives pas (idr par exemple dans le cas du delphi).
Ce qu'il faut retenir c'est que si ces fonctions ne sont pas identifiées par l'éditeur ou la communauté, c'est tout simplement parce que très très souvent on s'en fout.
En reverse l'important c'est de savoir aller à l'essentiel afin de s'économiser, sinon c’est l’épuisement qui t’attend.
Si tu en es à te demander ce que font plusieurs unknown, c'est bien souvent que tu ne regardes pas d'assez loin.
J'imagine que ta question concerne les crackme vc6 que tu n'as pas encore réussi et qui comporte justement un peu plus de 250 unknowns...
Eh bien mon conseil précédent s'y applique pleinement (deux fois plutôt qu’une même …).
Bon courage.
++
IRC
Newbie Connect
Liens
Partenaires
Réglement
Goodies
L'incubateur
L'équipe
Hall Of Fame
