Здесь предлагаю обмениваться опытом использования, настройки этой тулзы.

Сегодня в Options->Color настроил основное окно дизассемблера все в старом классическом стиле Borland ща стало или в стиле Far(для справки первая версия была написана на Borland C++), но когда подносишь курсор на jne\je то в хинте появляется фон бежевый. Вот никак не могу найти место где это настраивается?! Может кто шарит ? )

-----
My love is very cool girl.

| Сообщение посчитали полезным:

обнаружил небольшую проблему - длина коментария к инструкции не может превышать 1К, можно ли этот объем увеличить, кто сталкивался?

| Сообщение посчитали полезным:

fermopili пишет:
обнаружил небольшую проблему - длина комментария к инструкции не может превышать 1К

Не так уж давно у Ильфака ограничение на длину строк было всего 255, сейчас 1К.
Любой комментарий - строка.

А вообще-то комментарий в 1К к инструкции - позабавило.

А Вы там не "Войну и мир" декомпилируете?

Ну а на самом деле проблема выеденного яица не стоит: рисуете свой плагин, который будет в отдельном окне выдавать Вам любой комментарий, который Вы храните в любом другом месте. Как захочется так и привязываете!!!

| Сообщение посчитали полезным: unknownproject

так плагин же и пишет такие коменты(хотя и не ко всем инструкциям, но к некоторым получаются большие), а сокращать уж некуда , не хотелось бы отдельно где-то хранить, а прийдется , хотелось обойтись малой кровью, ан не получится ....

| Сообщение посчитали полезным:

fermopili пишет:
а сокращать уж некуда
порвало жесть

а что реально нужны комментарии в асм коде? я вот как то никогда этим функционалом не пользовался

| Сообщение посчитали полезным:

да, реально; плагин в коментах описывает свои действия. Всегда что-то происходит впервые.

| Сообщение посчитали полезным:

fermopili пишет:
не хотелось бы отдельно где-то хранить
У Ильфака есть ещё подстрочные и надстрочные комментарии. 500 строк каждых Ида тянет, проверял.
Можете поизвращаться.
Но не советовал бы их делать длинными. Вообще со строками у Ильфака (особенно с длинными) бывают глюки, так что во время работы скрипта или плагина возможна порча базы.
Что характерно, даже при работе IDC скриптов, хотя там нет возможности работать с памятью, иногда стек портится !!!

| Сообщение посчитали полезным:

reversecode пишет:
а что реально нужны комментарии в асм коде? я вот как то никогда этим функционалом не пользовался

обычно хватает переименования названия функций в нечто удобоваримое, но камментами я иногда пользовался. Правда не по килобайту на инструкцию

| Сообщение посчитали полезным:

дайте догадаюсь, это какой ни будь трейс плагин который отписывает комментариями, что там творится в динамике,
так я вас уверяю, динамика нах не нужна

| Сообщение посчитали полезным:

есть инструкция следующего вида, ldub R1, @((T_option+7 - 0x868F), R2), всю информацию о ней можно найти в структуре cmd, однако в этой структуре нет информации о (T_option+7), а вернее нет информации и числе 7, стоит вопрос где ее можно найти ? Семерка подставляется автоматически так как 0x868F это адрес седьмого элемента в массиве, и тогда стоит вопрос как определить что 0x868F расположено где-то в массиве, и где наити всю информацию о массиве?

| Сообщение посчитали полезным:

Иногда ида спрашивает что-то типа "Считать ли этот процесс тем же что загружен в базу?" Да/Нет.
Как сбросить эту настройку если неправильно ответил?

-----
старый пень

| Сообщение посчитали полезным:

ресет хайден месседж?
только оно все сбрасывает
потом опять появятся тупые вопросы на которые нужно будет ответить да нет, что бы больше не появлялись

| Сообщение посчитали полезным: r_e

путем долгих копаний SDK и IDA нашел решение вопроса о массивах, если кому-то поможет, то программное решение вопроса о массивах от 6 марта можно решить используя класс netnode(для создания массива), а вытащить всю информацию о массивах можно при помощи функций get_flags_novalue, get_typeinfo, get_data_elsize и др.

| Сообщение посчитали полезным:

get_typeinfo DEPRECATED
но если уж сочли отписать, то лучше бы пример кода оставили который изобрели под свой случай
а иначе это мало чем поможет тому кто заинтересуется

| Сообщение посчитали полезным:

вот пример кода



| Сообщение посчитали полезным:

Diaphora, a program diffing plugin for, at the moment, IDA Pro

Diaphora (διαφορά, Greek for 'difference') is a program diffing plugin for IDA Pro, similar to Zynamics Bindiff or the FOSS counterparts DarunGrim, TurboDiff, etc... It was released during SyScan 2015.

At the moment, it works with IDA Pro but support for Radare2 (and maybe Pyew or even Hopper) is also planned. For more details, please check the tutorial in the "doc" directory.

--> Link <--

| Сообщение посчитали полезным:

https://www.hex-rays.com/products/ida/6.8/index.shtml

| Сообщение посчитали полезным:

dant3 пишет: ...ida/6.8/...

imho, погоня за обновлённостью влияет на количество BUGFIXES в версии...

-----
...или ты работаешь хорошо, или ты работаешь много...

| Сообщение посчитали полезным:

FLARE IDA Pro Script Series: Applying Function Prototypes to Indirect Calls
--> Link <--

| Сообщение посчитали полезным:

У меня странный бажок есть. Бесит сильно.

При нажатии f5 не происходит декомпил текущей функции. Декомпилируется самая первая, причём никак кроме ctrl+f5 не декомпилировать другие. Переключить никак не получается. Как исправить?

// версия 6,6 + Hex Rays

| Сообщение посчитали полезным:

обсуждали этот баг когда релиз 6.6 был слит
поищите, почитайте

| Сообщение посчитали полезным:

Понял. Пошел искать.

| Сообщение посчитали полезным:

там две иды были в 6.6 релизе
в одной из них этого бага как я помню нет
различия и в какой нет, можете искать

Добавлено спустя 12 часов 16 минут
кстати ида 6.8 демо вышла, народ каким то чудом прикручивает от нее к 6.6 и у них даже что то работает

| Сообщение посчитали полезным:

reversecode, что прикручивают-то? Рейсы 2.0? Там апи получения текущего окна изменилась, ещё с 6.7 . Не будут они нормально работать никогда, в лучшем случае с одним окном Pseudocode.

Кстати, а hexrays_tools и CrowdDetox на практике юзабельные были на момент выхода? Думаю, стоит ли пытаться их реанимировать для 6.6.

| Сообщение посчитали полезным:

--> Link <--
As for the new ida version nice to see they fixed most of the bugfixes.

for fun i patched the 6.8 ida.wll to work with idag.exe (6.6), since ida.wll holds the new functions.
I upgraded 6.6 exe to work with demo 6.8 and and all works like full ida thinking its a 6.8 version, so only bugfixes.

| Сообщение посчитали полезным: vit9696

предлагаю внедрить трояна --> Link <--

| Сообщение посчитали полезным:

поделитесь пожалуйста сигнатурами для StreamSec v3 под Delphi если у кого есть
заранее спасибо

готов отблагодарить деревянным за помощь

| Сообщение посчитали полезным:

а, IDA как дебаггер, очень даже... Единственное что печалил - некоторый момент, к примеру если маленькая эксешка запускает большую диелел в которой собственно весь движок (от души покрытый инлайнами)...
reversecode, и вот что лучше всего было сделать?

Анализ лодера, показал что его можно радикально рипнуть в энтри поинт, а из самой диелелки сделать ексешечку ^^
http://savepic.org/7159304.png

хорошо то как, а?)))

=TS=, да это мне было понятно, просто дефолтный лаунчер и стартовал слишком тормозно (неведомо что творя),
а то и вообще с глюками, да и карта навигации не всегда соответствовала.. Не нравилось вобщем, вот и подумалось, доколе такое терпеть, гг..

| Сообщение посчитали полезным:

microxa, Можно так не извращаться, загружается в IDA на анализ DLL, ставятся бряки где нужно, в свойствах дебага исполняемым файлом прописывается запускающий EXE (или вообще всё делать через rundll32.exe или какой-нибудь другой запускатор).

-----
DREAMS CALL US

| Сообщение посчитали полезным:

--> Source archive of all published IDA plugins and a couple extra RE tools <--

-----
127.0.0.1, sweet 127.0.0.1

| Сообщение посчитали полезным:

reversecode пишет:
Diaphora, a program diffing plugin for, at the moment, IDA Pro
Опробовал я это чудо наконец, результат просто суперский. А нет готового решения, чтобы еще можно было выгрузить список функций и пометить их все "mark as decompiled"? Или самому писать?

Добавлено
Поторопился я с результатами, много фейлов, даже на уровне графов. Выдает некоторые функции идентичными 1 в 1, но поменялись константы и в некоторых функциях даже вставлен код, вполне себе функциональный! Короче за этой диафорой нужен глаз до глаз и верить ей нельзя(

| Сообщение посчитали полезным: