前三部分已经验证了用IDAPython能够让工作变的更简单,这一部分让我们看看逆向工程师如何使用IDAPython的颜色和强大的脚本特性。

分析者经常需要面对越来越复杂的代码,而且有时候无法轻易看出动态执行的时候执行的代码。而通过IDAPython的强大功能,我们不但能静态的标识指令,并且能够统计出对应的指令被使用了多少次。

背景

在这一部分中,我用C语言写了一个简单的程序。下面的代码是为了这次的练习而编写和编译的:

  1. #include "stdafx.h"
  2. #include <stdlib.h>
  3. #include <time.h>
  4.  
  5. int _tmain(int argc, _TCHAR* argv[])
  6. {
  7.   char* start = "Running the program.";
  8.   printf("[+] %s\n", start);
  9.   char* loop_string = "Looping...";
  10.  
  11.   srand (time(NULL));
  12.   int bool_value = rand() % 10 + 1;
  13.   printf("[+] %d selected.\n", bool_value);
  14.   if(bool_value > 5)
  15.   {
  16.     char* over_five = "Number over 5 selected. Looping 2 times.";
  17.     printf("[+] %s\n", over_five);
  18.     for(int x = 0; x < 2; x++)
  19.       printf("[+] %s\n", loop_string);
  20.   }
  21.   else
  22.   {
  23.     char* under_five = "Number under 5 selected. Looping 5 times.";
  24.     printf("[+] %s\n", under_five);
  25.     for(int x = 0; x < 5; x++)
  26.       printf("[+] %s\n", loop_string);
  27.   }
  28.   return 0;
  29. }

当我们将这个二进制加载到IDA中时,我们可以看到预期的循环与代码重定向语句。如果我们在不知道源码的情况下来看这个例子,通过静态分析能够大概判断代码实现的功能。

然而,如果我们想知道运行的时候执行了哪个区块的代码呢?这个问题可以用IDAPython来解决哦!

编写IDAPYTHON脚本

我们第一个需要处理的难题是如何逐句遍历每一条指令,以下代码将可以帮助我们来解决:(调试信息会输出已经被执行的指令)

  1. RunTo(BeginEA())
  2. event = GetDebuggerEvent(WFNE_SUSP, -1)
  3.  
  4. EnableTracing(TRACE_STEP, 1)
  5. event = GetDebuggerEvent(WFNE_ANY|WFNE_CONT, -1)
  6.  
  7. while True:
  8.   event = GetDebuggerEvent(WFNE_ANY, -1)
  9.   addr = GetEventEa()
  10.   print "Debug: current address", hex(addr), "| debug event", hex(event)
  11.   if event <= 1: break

在上面的代码中我们首先启动了调试器并且执行到函数的入口处,通过调用‘RunTo(BeginEA())’函数。接下来调用的GetDebuggerEvent()函数会等待直到断点到达。

接着我们调用EnableTracing()函数来打开IDA的跟踪功能,然后GetDebuggerEvent()函数调用会继续执行调试器,配置跟踪步骤。最后,我们会进入一个循环遍历每一个地址直到遇到结束条件。这个脚本在IDA中的输出如下所示:

下一个步骤是检索出执行的每一行并标识颜色。我们可以使用GetColor()和SetColor()函数来分别解决这两个问题。下面的代码会获取给定行数代码的当前颜色,并决定将代码设置成什么颜色,并进行设定。

在这个例子,我使用四种不同深浅的蓝色。深蓝色表示这一行被重复执行。(读者可以根据跟人喜好修改这部分代码)

  1. def get_new_color(current_color):
  2.   colors = [0xffe699, 0xffcc33, 0xe6ac00, 0xb38600]
  3.   if current_color == 0xFFFFFF:
  4.     return colors[0]
  5.   if current_color in colors:
  6.     pos = colors.index(current_color)
  7.     if pos == len(colors)-1:
  8.       return colors[pos]
  9.     else:
  10.       return colors[pos+1]
  11.   return 0xFFFFFF
  12.   
  13.   
  14. current_color = GetColor(addr, CIC_ITEM)
  15. new_color = get_new_color(current_color)
  16. SetColor(addr, CIC_ITEM, new_color)

运行上面的代码能够将无颜色的行数修改为高亮的蓝色。另外,如果同一行代码运行多次会变成深蓝色。

可以使用下面的代码来删除IDA文件中之前设置的所有颜色。将颜色设置成0XFFFFFF将会变成白色,或者高效的将之前设置的所有颜色删除。

  1. heads = Heads(SegStart(ScreenEA()), SegEnd(ScreenEA()))
  2. for i in heads:
  3.   SetColor(i, CIC_ITEM, 0xFFFFFF)

将所有的代码合到一起,我们会得到如下结果:

  1. heads = Heads(SegStart(ScreenEA()), SegEnd(ScreenEA()))
  2. for i in heads:
  3.   SetColor(i, CIC_ITEM, 0xFFFFFF)
  4.   
  5. def get_new_color(current_color):
  6.   colors = [0xffe699, 0xffcc33, 0xe6ac00, 0xb38600]
  7.   if current_color == 0xFFFFFF:
  8.     return colors[0]
  9.   if current_color in colors:
  10.     pos = colors.index(current_color)
  11.     if pos == len(colors)-1:
  12.       return colors[pos]
  13.     else:
  14.       return colors[pos+1]
  15.   return 0xFFFFFF
  16.   
  17. RunTo(BeginEA())
  18. event = GetDebuggerEvent(WFNE_SUSP, -1)
  19.  
  20. EnableTracing(TRACE_STEP, 1)
  21. event = GetDebuggerEvent(WFNE_ANY|WFNE_CONT, -1)
  22. while True:
  23.   event = GetDebuggerEvent(WFNE_ANY, -1)
  24.   addr = GetEventEa()
  25.   current_color = GetColor(addr, CIC_ITEM)
  26.   new_color = get_new_color(current_color)
  27.   SetColor(addr, CIC_ITEM, new_color)
  28.   if event <= 1: break

当我在程序用运行这段代码时,我们看到执行过的反汇编指令被高亮了。如下图所示,多次执行的指令被设置成了深蓝色,让我们能够更容易理解代码执行流程。

总结

这一部分演示的例子确实很简单,结合了IDA调试功能与颜色相关API的使用。这项技术能够让分析者在复杂应用代码分析中节省大量的时间。

*原文:Paloaltone,东二门陈冠希/编译,转载请注明来自FreeBuf黑客与极客(FreeBuf.COM)

IDApython教程(四)的更多相关文章

  1. CRL快速开发框架系列教程四(删除数据)

    本系列目录 CRL快速开发框架系列教程一(Code First数据表不需再关心) CRL快速开发框架系列教程二(基于Lambda表达式查询) CRL快速开发框架系列教程三(更新数据) CRL快速开发框 ...

  2. 手把手教从零开始在GitHub上使用Hexo搭建博客教程(四)-使用Travis自动部署Hexo(2)

    前言 前面一篇文章介绍了Travis自动部署Hexo的常规使用教程,也是个人比较推荐的方法. 前文最后也提到了在Windows系统中可能会有一些小问题,为了在Windows系统中也可以实现使用Trav ...

  3. C#微信公众号开发系列教程四(接收普通消息)

    微信公众号开发系列教程一(调试环境部署) 微信公众号开发系列教程一(调试环境部署续:vs远程调试) C#微信公众号开发系列教程二(新手接入指南) C#微信公众号开发系列教程三(消息体签名及加解密) C ...

  4. 无废话ExtJs 入门教程四[表单:FormPanel]

    无废话ExtJs 入门教程四[表单:FormPanel] extjs技术交流,欢迎加群(201926085) 继上一节内容,我们在窗体里加了个表单.如下所示代码区的第28行位置,items:form. ...

  5. TFS(Team Foundation Server)敏捷使用教程(四):工作项跟踪(1)

    工作项跟踪(1) 可跟踪性是软件过程的重要能力,TFS主要是以工作项来实现过程的可跟踪性.曾有人问:"你们实际项目里的工作项是怎么样的?能不能让我们看看?"我也一直很好奇别的公司T ...

  6. Android Studio系列教程四--Gradle基础

    Android Studio系列教程四--Gradle基础 2014 年 12 月 18 日 DevTools 本文为个人原创,欢迎转载,但请务必在明显位置注明出处!http://stormzhang ...

  7. Laravel教程 四:数据库和Eloquent

    Laravel教程 四:数据库和Eloquent 此文章为原创文章,未经同意,禁止转载. Eloquent Database 上一篇写了一些Laravel Blade的基本用法和给视图传递变量的几种方 ...

  8. NGUI系列教程四(自定义Atlas,Font)

    今天我们来看一下怎么自定义NGUIAtlas,制作属于自己风格的UI.第一部分:自定义 Atlas1 . 首先我们要准备一些图标素材,也就是我们的UI素材,将其导入到unity工程中.2. 全选我们需 ...

  9. Qt零基础教程(四) QWidget详解篇

    在博客园里面转载我自己写的关于Qt的基础教程,没次写一篇我会在这里更新一下目录: Qt零基础教程(四) QWidget详解(1):创建一个窗口 Qt零基础教程(四) QWidget详解(2):QWid ...

  10. Qt零基础教程(四)QWidget详解(3):QWidget的几何结构

    Qt零基础教程(四)  QWidget详解(3):QWidget的几何结构 这篇文章里面分析了QWidget中常用的几种几何结构 下图是Qt提供的分析QWidget几何结构的一幅图,在帮助的 Wind ...

随机推荐

  1. 英语考试 FZU - 2254 (最小生成树)

    先选一个单词出来完全自己背,然后从这个单词到其他各个单词所需要的精力看成距离,然后用最小生成树把这些单词连接起来,就是通过我现在选的这个单词到其他各个单词的最小精力,然后再加上把这个单词背起来的精力, ...

  2. [SCOI2015]国旗计划[Wf2014]Surveillance

    [SCOI2015]国旗计划 A国正在开展一项伟大的计划——国旗计划.这项计划的内容是边防战士手举国旗环绕边境线奔袭一圈.这 项计划需要多名边防战士以接力的形式共同完成,为此,国土安全局已经挑选了N名 ...

  3. iptables防火墙详解(二)

    -- 基于状态的iptables 如果按照tcp/ip来划分连接状态,有11种之多(课后可以自己去读一下相关知识) 但iptables里只有4种状态:ESTABLISHED.NEW.RELATED及I ...

  4. Navicat Premium 12 破解(MySQL、MariaDB、MongoDB、SQL Server、SQLite)

    打开注入到安装目录中的exe中 破解提示(还没好,继续看下去) 如果你安装的是中文版,选一下中文版(英文默认即可),获取一下key(名字和组织可以自定义) 打开Navicat,选择注册(第一次打开选注 ...

  5. springAop 使用@Around,@After等注解时,代码运行两边的问题

    springAop使用@Around,@After等注解时,代码运行两边的问题 将@Component注解删掉就好了

  6. js 字符与ASCII码互转

    将字符转为ASCII码 var str = "A"; str.charCodeAt(); var str1 = 'a'; str1.charCodeAt(); 将ASCII码转为字 ...

  7. 关于JAVA-JS-JSP之间传值的各种方法

    https://blog.csdn.net/murex_dustyone/article/details/52945552 这篇博文写的非常好,保存下来,一起学习

  8. (数学) PTA 1005 继续(3n+1)猜想 (25 分)

    1005 继续(3n+1)猜想 (25 分) 卡拉兹(Callatz)猜想已经在1001中给出了描述.在这个题目里,情况稍微有些复杂. 当我们验证卡拉兹猜想的时候,为了避免重复计算,可以记录下递推过程 ...

  9. 黑苹果是否会成为mac电脑的竞争对手?

    最近黑科技技术大佬们都在传扬windows系统上安装mac系统,不用买mac电脑也可以使用mac一样的操作环境.什么是黑苹果?一起来看看如何在windows系统上安装mac系统. 更多专题,可关注小编 ...

  10. python改文件名

    import os file_names = os.listdir('D:\\mobilefile\\_hd') for file_name in file_names : print(file_na ...