11.2 IDAPython 函数
IDAPython 能够访问所有的 IDC 函数,我们只介绍一些会马上用到,为之后的 IDAPython
脚本编写做基础。IDC 总共有 100 多个函数,有兴趣的可以研究研究。
11.2.1 常用函数
以下的函数都是在编写脚本的时候经常用到的。
ScreenEA()
获取 IDA 调试窗口中,光标指向代码的地址。通过这个函数,我们就能够从一个已知 的点运行我们的脚本。
GetInputFileMD5()
返回 IDA 加载的二进制文件的 MD5 值,通过这个值能够判断一个文件的不同版本是否 有改变。
11.2.2 段
在 IDA 中二进制文件被分成了不同的段,这些段根据功能分成了不同的类型( CODE, DATA, BSS, STACK, CONST,XTRN)。以下的函数用于分析获得各种段信息。
FirstSeg()
访问程序中的第一个段。
NextSeg()
访问下一个段,如果没有就返回 BADADDR。
SegByName( string SegmentName )
通过段名字返回段基址,举个例子,如果调用.text 作为参数,就会返回程序中代码段的开始 位置。
SegEnd( long Address )
通过段内的某个地址,获得段尾的地址。
SegStart( long Address )
通过段内的某个地址,获得段头的地址。
SegName( long Address )
通过段内的某个地址,获得段名。
Segments()
返回目标程序中的所有段的开始地址。
11.2.3 函数
循环访问程序中的所有函数,确定函数的范围,是脚本编程中会经常碰到的问题。下面 的函数对于处理函数非常有用。
Functions( long StartAddress, long EndAddress )
返回一个列表,包含了从 StartAddress 到 EndAddress 之间的所有函数。
Chunks( long FunctionAddress )
返回一个列表,包含了函数片段。每个列表项都是一个元组(chunk start, chunk end)
LocByName( string FunctionName )
通过函数名返回函数的地址。
GetFuncOffset( long Address )
通过任意一个地址,然后得到这个地址所属的函数名,以及给定地址和函数的相对位移。 然后把这些信息组成字符串以"名字+位移"的形式返回。
GetFunctionName( long Address )
通过一个地址,返回这个地址所属的函数。
11.2.4 交叉引用
找出代码和数据的交叉引用,在分析文件的执行流程时很重要,尤其是当我们分析感兴趣的代码块的时候,盲目的查找无意义字符会让你有一种想死的冲动,这也是为什么 IDA 依然会成为逆向工程的王者的原因。IDAPython 提供了一大堆函数用于各种交叉引用。最常 用的就是下面几种。
CodeRefsTo( long Address, bool Flow )
返回一个列表,告诉我们 Address 处代码被什么地方引用了,Flow 告诉 IDAPython 是否要 跟踪这些代码。
CodeRefsFrom( long Address, bool Flow )
返回一个列表,告诉我们 Address 地址上的代码引用何处的代码。
DataRefsTo( long Address )
返回一个列表,告诉我们 Address 处数据被什么地方引用了。常用于跟踪全局变量。
DataRefsFrom( long Address )
返回一个列表,告诉我们 Address 地址上的代码引用何处的数据。
11.2.5 Debugger Hooks
Debugger Hook 是 IDAPython 提供的另一个非常酷的功能,用于 Hook 住 IDA 内部的调 试器,同时处理各种调试事件。虽然 IDA 一般不用于调试任务,但是当需要动态调试的时 候,调用 IDA 内部调试器还是比外部的会方便很多。之后我们会用 debugger hooks 创建一 个代码覆盖率统计工具。使用 debugger hook 之前,先要睇你一个一个 hook 类然后在类里头 定义各种不同的处理函数。
class DbgHook(DBG_Hooks):
# Event handler for when the process starts
def dbg_process_start(self, pid, tid, ea, name, base, size)
return
# Event handler for process exit
def dbg_process_exit(self, pid, tid, ea, code):
return
# Event handler for when a shared library gets loaded def
dbg_library_load(self, pid, tid, ea, name, base, size):
return
# Breakpoint handler
def dbg_bpt(self, tid, ea):
return
这个类包含了我们在创建调试脚本时,会经常用到的几个调试事件处理函数。安装 hook 的方式如下:
debugger = DbgHook()
debugger.hook()
现在运行调试器,hook 会捕捉所有的调试事件,这样就能非常精确的控制 IDA 调试器。 下面的函数在调试的时候非常有用:
AddBpt( long Address )
在指定的地点设置软件断点。
GetBptQty()
返回当前设置的断点数量。
GetRegValue( string Register )
通过寄存器名获得寄存器值。
SetRegValue( long Value, string Register )
设定寄存器的值。