2018-07-14 IDA-脚本编写

执行脚本的常识:

  • 访问IDA的脚本引擎
    图片.png

    图片.png
  • script Flie:表示 独立的一个脚本
    最近使用过的脚本

如下图所示:

  • 双击:表示运行脚本


    recent scripts窗口
  • options->General->misc:指定编辑器。


    指定编辑器

IDC语言:

IDC脚本语言借用了很多C语言的许多的语法。

IDC变量:

  • auto
    IDC关键字auto用于引入一个局部变量。
    auto例子

    1:IDC认可使用/* */的c语言风格进行多行注释。
    2:也使用//的C++风格进行行尾注释
    3:使用;作为终止符(和c语言中一样)
    4:IDC并不支持c风格数组类型,指针,结构体,联合之类,复杂的数据类型
  • extern
    IDA使用extern关键字引入全局变量声明。

可以在任何函数定日的内部和外部申明全局变量,但蹦年子啊声明全局变量的是时候为其提供初始值

例子程序

IDC表达式:

IDC支持c中的所有表达式和逻辑运算符,包括三元运算符(?:)。

  • 支持逗号运算符
    但是 不支持 op=(+=,*=,>>=等)符合赋值运算符。
  • 不支持算术移位,如果要移位只能修改最高位和最低位。如下所示:
    移位操作

    提供分片运算
    使用方法:使用方括号和其实索引(包括)与结束索引(不包括)来指定至少一个索引。如下图所示:
    数组,处理字符串

IDC语句

  • 语句以分号结尾,但是不支持复合语句。
  • 引入try/catch块和相关的throw语句,相当与C++的异常处理。
  • 使用和C语言一样的花括号和语义。在花括号中可以申明变量,申明变量必须位于花括号内的第一条语句
  • Message类似于c语言中的print

注意:
如下所示:我们能同时打印x,y的值(即使未执行到y代码块),但是只能打印出同一函数,但是不能打印不同函数的值。

图片.png

IDC函数:

  • .idc文件支持用户定义的函数。
  • IDC命令对话框不支持用户定义的函数。
  • 使用static声明用户定义的函数。
  • 函数的参数列表以逗号隔开。
    函数声明
  • 采用传值的方式(call-by-value)传递(ida5.6以前)
  • 采用传地址的方式(call-by-reference),(ida5.6以后)
    • 传地址采用& ,这和C语言一样。
      函数传地址
  • 若需要返回值 ,使用return
    • 可以将函数的引用作为参数传递给另外一个函数,并将函数引用的作为函数的结果返回。


      函数的引用

IDC对象:

  • IDC定义一个称为object的根类,支持单一继承
  • 不使用访问说明符(像public与private),所有类成员均为有效公共类。
  • 在类中创建数据成员,使用赋值语句赋值给创建的数据成员,即可。
    对象赋值

IDC程序:

  • 当执行大量的IDC语句的时候,需要创建一个独立的IDC程序文件。
  • IDC程序文件,至少定义一个没有参数的main函数。
  • IDC文件必须包含#include <idc.idc>这个文件,由此获得宏定义。
    脚本文件示例

IDC认可以下C预处理指令:

  • #include<名称>,将指定的文件加载到当前文件里
  • #define<宏名称>[可选值]:创建一个宏,可以指定一个值
    define宏定义
  • #ifdef<名称>:测试执行的宏是否存在,如果该宏存在,可以选择处理其后的任何语句。
  • #endif #ifde或#ifdef/#else块所需的终止符。
  • #undef<名称> 删除指定的宏。

IDC 错误处理

主要产生两种错误:解析错误运行错误

  • 解析错误:指令无法运行错误,语法错误,引用未定义的变量,函数参数数量错误。
  • 运行时的错误:这种错误较少,运行错误会使脚本立即终止。

关键IDC脚本与热键

  • 使用 AddHotkey函数调用,将特定的热键与IDC脚本关联起来。如下图所示:


    热键

注意:

  • idc脚本标准存储目录为<IDADIR>/idc;
  • 不能将脚本函数命名为main。因为ida.idc中的main函数相冲突。

IDC函数

  • void MakeUnkn(long addr, long flags)


    图片.png
MakeUnkn
// Convert the current item to an explored item
//      ea     - linear address
//      expand - 0: just undefine the current item
//               1: undefine other instructions if the removal of the
//                  current instruction removes all references to them.
//                  (note: functions will not be undefined even if they
//                         have no references to them)

void    MakeUnkn        (long ea,long expand);  // convert to 'unknown'
                                                // expand!=0 => undefine consequent
                                                // instructions too



清除反编译

// Clean up the disassembly so it looks nicer
MakeUnknown(tea1, tea2-tea1, DOUNK_EXPAND|DOUNK_DELNAMES);

函数众多 待续

IDApython:

  • IDAPython在IDA中集成了Python解释器,除了提供了Python功能外,使用这个插件还可以编写实现IDC脚本语言的所有Python脚本。
  • IDAPython显著优势在于,它可以充分利用Python强大的数据处理能力及所有的Python模块。
  • IDAPython还具有IDA SDK的大部分功能,与IDC相比,使用它可以编写功能更加强大的脚本。
  • IDAPython有一个缺点就是文档资源太少,容易造成障碍。
    IDApython是一个插件,在IDA中继承了python插件。
    以下为WOW的IDC脚本:
#include <idc.idc>
static main()
{
    auto ptr, i, a, b, k, x;
    auto y,ss="",dd="";
    k = 0;
    ptr = 0x40087F;
    i = 0;
    while(1)
    {
        a = Byte(ptr+i);
        b = Byte(ptr+i+1);
        for (x = 0; x <= 255; x++)
        {
            if(((a^x) == 0xFB)&&((b^x) == 0x90))
            {
                Message("%x\n",ptr+i);
                Message("xxxxxx%d\n",x);
                y=ltoa(x,16);
                //Message("%c\n",y);
                ss= ss + x;
                dd= dd + y;
                //Message("xxxxxx%s\n",dd);
                k++;
                break;
            }
        }
        if (k == 6)break;
        i++;
    }
    Message("good job\n");
    
    Message("%s\n", "Hello world!");
    Message("dddddd%s\n",dd);
    Message("+++++%s\n",ss);
    //Message("/////%c%c%c%c%c%c\n",ss[0:2],ss[2:4],ss[4:6],ss[6:8],ss[8:10],ss[10:12]);
    }

IDA python有三个独立的模块组成:

 1. idc:这是兼容idc函数的模块  
  2. idautils:很使用的一个模块,大多数处理都是需要依托于这个模块  
  3. idaapi:允许使用者通过类的形式,访问更多底层的数据  
  • IDC模块负责提供IDC所有的函数
  • idaapi模块负责访问核心IDA API
  • idautils:提供大量的实用函数,其中许多函数可以生成各种数据库的相关对象(如函数和交叉引用)的python列表。
    • IDAPython脚本会自动导入idc和idautils模块。
    • idaapi模块,需要手动导入。
      以wow为例,写一个练习脚本:
import idc
#ida 6.8
def test_char(beginEa):
    retInt=0
    for i in range(0,100):
        curEa=beginEa+i
        prevByte=idc.Byte(curEa-1)
        curByte=idc.Byte(curEa)
        xorPrev=(prevByte^0xfb)
        xorcur=(curByte^0x90)
        if  xorPrev==xorcur:
            print hex(curEa),hex(xorPrev),chr(xorPrev)
            retInt=xorPrev
            break
    return retInt
 
 
str_in=""
x0=test_char(0x40087f)
//print x0
str_in+=chr(x0)
x1=test_char(0x4008c9)
//print x1
str_in+=chr(x1^x0)
x2=test_char(0x400910)
str_in+=chr(x2^x1)
x3=test_char(0x400957)
str_in+=chr(x3^x2)
x4=test_char(0x40099e)
str_in+=chr(x4^x3)
str_in+=chr(0xf^x4)
print str_in

参考链接:

IDApython函数库:https://www.hex-rays.com/products/ida/support/idapython_docs/
灰帽子之旅:https://wizardforcel.gitbooks.io/grey-hat-python/content/48.html

©著作权归作者所有,转载或内容合作请联系作者
  • 序言:七十年代末,一起剥皮案震惊了整个滨河市,随后出现的几起案子,更是在滨河造成了极大的恐慌,老刑警刘岩,带你破解...
    沈念sama阅读 143,396评论 1 301
  • 序言:滨河连续发生了三起死亡事件,死亡现场离奇诡异,居然都是意外死亡,警方通过查阅死者的电脑和手机,发现死者居然都...
    沈念sama阅读 61,482评论 1 258
  • 文/潘晓璐 我一进店门,熙熙楼的掌柜王于贵愁眉苦脸地迎上来,“玉大人,你说我怎么就摊上这事。” “怎么了?”我有些...
    开封第一讲书人阅读 94,858评论 0 213
  • 文/不坏的土叔 我叫张陵,是天一观的道长。 经常有香客问我,道长,这世上最难降的妖魔是什么? 我笑而不...
    开封第一讲书人阅读 41,131评论 0 179
  • 正文 为了忘掉前任,我火速办了婚礼,结果婚礼上,老公的妹妹穿的比我还像新娘。我一直安慰自己,他们只是感情好,可当我...
    茶点故事阅读 48,903评论 1 256
  • 文/花漫 我一把揭开白布。 她就那样静静地躺着,像睡着了一般。 火红的嫁衣衬着肌肤如雪。 梳的纹丝不乱的头发上,一...
    开封第一讲书人阅读 38,847评论 1 177
  • 那天,我揣着相机与录音,去河边找鬼。 笑死,一个胖子当着我的面吹牛,可吹牛的内容都是我干的。 我是一名探鬼主播,决...
    沈念sama阅读 30,454评论 2 273
  • 文/苍兰香墨 我猛地睁开眼,长吁一口气:“原来是场噩梦啊……” “哼!你这毒妇竟也来了?” 一声冷哼从身侧响起,我...
    开封第一讲书人阅读 29,206评论 0 167
  • 想象着我的养父在大火中拼命挣扎,窒息,最后皮肤化为焦炭。我心中就已经是抑制不住地欢快,这就叫做以其人之道,还治其人...
    爱写小说的胖达阅读 29,047评论 6 232
  • 序言:老挝万荣一对情侣失踪,失踪者是张志新(化名)和其女友刘颖,没想到半个月后,有当地人在树林里发现了一具尸体,经...
    沈念sama阅读 32,563评论 0 213
  • 正文 独居荒郊野岭守林人离奇死亡,尸身上长有42处带血的脓包…… 初始之章·张勋 以下内容为张勋视角 年9月15日...
    茶点故事阅读 29,344评论 2 215
  • 正文 我和宋清朗相恋三年,在试婚纱的时候发现自己被绿了。 大学时的朋友给我发了我未婚夫和他白月光在一起吃饭的照片。...
    茶点故事阅读 30,667评论 1 231
  • 白月光回国,霸总把我这个替身辞退。还一脸阴沉的警告我。[不要出现在思思面前, 不然我有一百种方法让你生不如死。]我...
    爱写小说的胖达阅读 24,264评论 0 32
  • 序言:一个原本活蹦乱跳的男人离奇死亡,死状恐怖,灵堂内的尸体忽然破棺而出,到底是诈尸还是另有隐情,我是刑警宁泽,带...
    沈念sama阅读 27,163评论 2 214
  • 正文 年R本政府宣布,位于F岛的核电站,受9级特大地震影响,放射性物质发生泄漏。R本人自食恶果不足惜,却给世界环境...
    茶点故事阅读 31,546评论 3 207
  • 文/蒙蒙 一、第九天 我趴在偏房一处隐蔽的房顶上张望。 院中可真热闹,春花似锦、人声如沸。这庄子的主人今日做“春日...
    开封第一讲书人阅读 25,630评论 0 9
  • 文/苍兰香墨 我抬头看了看天上的太阳。三九已至,却和暖如春,着一层夹袄步出监牢的瞬间,已是汗流浃背。 一阵脚步声响...
    开封第一讲书人阅读 26,032评论 0 166
  • 我被黑心中介骗来泰国打工, 没想到刚下飞机就差点儿被人妖公主榨干…… 1. 我叫王不留,地道东北人。 一个月前我还...
    沈念sama阅读 33,572评论 2 231
  • 正文 我出身青楼,却偏偏与公主长得像,于是被迫代替她去往敌国和亲。 传闻我的和亲对象是个残疾皇子,可洞房花烛夜当晚...
    茶点故事阅读 33,668评论 2 232

推荐阅读更多精彩内容

  • 一、Python简介和环境搭建以及pip的安装 4课时实验课主要内容 【Python简介】: Python 是一个...
    _小老虎_阅读 5,597评论 0 10
  • 方法1:下载dSYM工具分析 dSYM分析 方法2:终端cd文件反编译 由于这类的崩溃信息通常难以重现, 没有任何...
    Karen_阅读 5,711评论 0 10
  • 提交信息等待网络请求完成或者某一个条件允许的情况下,我们会在屏幕上或者按钮上面添加一个菊花,表示当前正处于等待状态...
    捷风阅读 758评论 0 2
  • 不知为什么,近年来我的先生对酒的喜爱近乎偏执。在我们的孩子还未降生时,他从来都是滴酒不沾,将别人递来的酒杯婉言拒绝...
    容秀阅读 535评论 1 1