idapython实现动态函数调用批量注释

部门小伙伴遇到一个样本需要对动态函数调用就行批量注释还原的问题，通过idapython可以大大的减少工作量，其实这一问题也是很多样本分析中最耗时间的一块，下面来看看如何解决这个问题（好吧这才是今年最后一篇技术文章！-_-）.

具体情况如下，由于样本注入的代码都是使用的动态函数的获取方式，因此通过ida去看的话都是以下的形式，大大增加了逆向的难度。

为了减轻逆向的难度需要对这些函数进行批量的注释，在写该脚本前想想我们需要解决哪些问题。

1. 如何获取所有的该类型函数调用？
2. 如何判断该函数调用为什么api（即该call eax是call writefile还是call readfile了？）

通常通过Loadlibrary和GetproAddress动态获取api的方式都是将这些地址放到单独的一段内存中，每四个字节为一个地址，如下图所示：

此处首先假设我们已经将该表转换成了对应的一个数组，就像这样（转换过程见下文）：

首先需要获取所有该类型动态函数的调用，通常的动态函数调用方式如下，通过mov获取对应的函数地址，然后call该寄存器。

因此我们可以通过idapython脚本搜索对应call reg系列指令（当然并不是所有的call reg指令都是动态函数调用，我们的标准是先mov之后再call，同时mov的目的reg和call的reg要一致，此处先将所有的call找出来），如下图所示：其中的FF D0即为call eax指令对应的十六进制码。

现在获取了所有的call reg地址，除了要进行过滤之外还需要知道这个call对应的api到底是啥，理论上通过ida是没法办到的，但是有了上文中的funclist及对应内存表中该函数的地址偏移（此处为278）就可以知道对应的函数名称，(278->632-296(内存中的函数表偏移))/4，获取的值即为对应funclist中对应的索引。

如下图所示，通过这个funclist和偏移即可获取对应call的api是什么，同时判断call的前一条指令mov中的第一个变量是否和call的寄存器一致来进行过滤，通过mov的第二个变量获取需要的偏移（这个地方的多个idc函数不做过多介绍，在前面的文章idapython在样本分析中的使用-字符解密中有详细的分析）。

最后组合起来如下：

此时运行之后每个对应函数都增加了相应的注释，当然这个地方你也可以直接通过重命名函数直接将call reg修改为对应的call api。

最后需要解决的一个问题如何获取上面那张funcnamelist的问题（当然不嫌累的话可以把内存中的地址一个个对应出来），其实上面已经说了idapyhon是无法解决的，但是通过调试器的脚本却可以实现，比如我最钟爱的windbg，通过分析可以知道保存了这些地址的内存，比如下图，在windbg中可以通过ln命令获取对应地址的符号。

通过ln获取对应地址的符号，如下就可以知道这个地址对应了函数LoadLibraryA。

同样通过windbg的python脚本就可以将这批函数对应的api名字生成一个idapython需要的funcnamelist了。

结果如下所示：

最后快元旦了，大伙新年快乐。

转载请注明出处