Здесь предлагаю обмениваться опытом использования, настройки этой тулзы.

Сегодня в Options->Color настроил основное окно дизассемблера все в старом классическом стиле Borland ща стало или в стиле Far(для справки первая версия была написана на Borland C++), но когда подносишь курсор на jne\je то в хинте появляется фон бежевый. Вот никак не могу найти место где это настраивается?! Может кто шарит ? )

-----
My love is very cool girl.

| Сообщение посчитали полезным:

долго же удавалось держать ветку "использование иды" от "релиза иды" отдельно
прям хоть в шапке прибивать большими и жирными ссылку на тему про релиз

| Сообщение посчитали полезным:

Sark is an object-oriented scripting layer written on top of IDAPython.

https://github.com/tmr232/Sark

-----
127.0.0.1, sweet 127.0.0.1

| Сообщение посчитали полезным: topmo3, Apokrif

OKOB пишет:
Sark is an object-oriented scripting layer written on top of IDAPython.
На картинке ничо так выглядит. IMHO, если бы MyStruct поля имела, еще лучше бы смотрелось!

| Сообщение посчитали полезным:

Apokrif пишет:
если бы MyStruct поля имела, еще лучше бы смотрелось!
Фигня всё это, не умеет ИДА работать с перегружаемыми регистрами внутри функи (о одном блоке esi одна структура, в другом уже другая, причем границы блоков могут быть размыты), так и с перегружаемыми локальными данными. Поэтому проще всё это делается руками, чем такими инструментами как предложенный.

-----
Everything is relative...

| Сообщение посчитали полезным:

Vamit
Чего это не умеет? Все умеет. Только ручками нужно каждый вход указывать. Или научить ее трейсить.
В хексрее она это делает автоматом, а вот в окне дизасма нет.

-----
старый пень

| Сообщение посчитали полезным:

r_e пишет:
В хексрее она это делает автоматом, а вот в окне дизасма нет.
Про хексрей и слова не было, всё что написал относится к Шарку и самой ида.

-----
Everything is relative...

| Сообщение посчитали полезным:

Создал плагин для Ida Pro 6.6 с использованием SDK 6.6.
В процессе его работы вывожу лог того, что он делает в "output window". Для этого, как будто, предназначена функция msg( ... ), но после старта плагина ( а он работает довольно долго ) окно иды висит и ничего никуда не выводится. Потом, через несколько минут, когда плагин заканчивает работу ( т.е. выходит из метода run ), ида "развешивается" и в окно оптом выводится пачка моих сообщений.

Это так задумано, или я делаю что то неправильно?

| Сообщение посчитали полезным:

сделайте текстовый буфер, туда пишите лог,
а после окончания своих действий выведите буфер в msg()

| Сообщение посчитали полезным:

reversecode пишет:
сделайте текстовый буфер, туда пишите лог,
а после окончания своих действий выведите буфер в msg()

Хотелось бы видеть сообщения в процессе работы плагина, а не после. В этом проблема!
А так можно и в текстовый файл их выводить...

| Сообщение посчитали полезным:

если хотите в процессе то выводите не в ида окно, а в отдельное window окно как это выводит ida при загрузке dwarf debug info,
думаю IDA тяжело одновременно крутить run и писать обновлять gui output window
тоже самое можно наблюдать если сделать все в idc скрипте,
пока он не отработает, ида зависает, и только потом показывает все в логе

| Сообщение посчитали полезным:

reversecode пишет:
если хотите в процессе то выводите не в ида окно, а в отдельное window окно

Есть ли у вас на примете хоть один рабочий пример такого плагина?

Примеры создания окон, которые есть в SDK работают точно так же, как и сама ида - пока работает плагин, ничего в это новое окно не выводится и потом по окончании работы в нем оптом появляется пачка сообщений.

| Сообщение посчитали полезным:

info() попробуйте

| Сообщение посчитали полезным:

Попробую, отпишусь.

Создал в методе run отдельный поток, чтобы не держать иду в этом методе и позволить ей обрабатывать оконные сообщения, а в этом потоке делал основную "плагиновую" работу.
Ида при этом крэшится с совершенно разными сообщениями. Видимо, многие методы SDK не являются потокобезопасными... Но если в новом потоке выводить только сообщения msg и больше ничего не делать, они выводятся немедленно и без проблем.

| Сообщение посчитали полезным:

если info не поможет, полистайте sdk на все где есть ключевое слово ui_mbox
там есть методы вывода месседж бокса с дальнейшей модификацией текста в нём
должно сыграть на плюс в скорости обновления

| Сообщение посчитали полезным:

reversecode пишет:
info() попробуйте

info() это обычный MessageBox с кнопками. Модифицировать в нем текст, даже если бы это было возможно, извините, извращение! И опять же, этот метод - блокируемый. Пока какую нибудь кнопку в нем не нажмешь - из info не выйдешь. Так что это бесполезно.

| Сообщение посчитали полезным:

ion
Добавьте в цикл своего обработчика вот такую штуку и усё - wasBreak()

-----
Everything is relative...

| Сообщение посчитали полезным: ion

ion
говорю то что вижу, mbox формой в IDA выводят все что быстро меняется
предполагаю что msg и info по разному отрабатывается

Добавлено спустя 6 минут
функционал замены текста в mbox не я придумал, это ida sdk о нём намекает

| Сообщение посчитали полезным:

reversecode пишет:
mbox формой в IDA выводят все что быстро меняется

Все методы, которые выводят MessageBox - блокируемые. Программа висит в них, пока вы не нажмете какую нибудь кнопку.

| Сообщение посчитали полезным:

ion
я не сказал что я знаю как плагин dwarf.plw выводит в message box не блокируя при этом ничего
по апи вызовам вижу что есть всякие callui(ui_***) методы, и msg info wasBreak show_wait_box там присутсвуют

| Сообщение посчитали полезным:

Vamit пишет:
Добавьте в цикл своего обработчика вот такую штуку и усё - wasBreak()

wasBreak не помогает ни перед msg, ни после. А это что, аналог Application.DoEvents() из .NET ?
Из описания в SDK не похоже, чтобы этот метод проталкивал оконные сообщения из очереди.
Или ваше усё означает что то иное?

| Сообщение посчитали полезным:

replace_wait_box кстати тоже используется в dwarf.plw плагине

Добавлено спустя 5 минут
сначала первый вызов show_wait_box а потом replace_wait_box столько сколько нужно
в конце закрытия окна hide_wait_box
вроде так

| Сообщение посчитали полезным: ion

reversecode пишет:
сначала первый вызов show_wait_box а потом replace_wait_box столько сколько нужно
в конце закрытия окна hide_wait_box
вроде так

Спасибо, помогло!
Действительно, сначала show_wait_box, а затем в цикле своего обработчика msg и сразу после него wasBreak. Т.ч. совет wasBreak от Vamit не совсем усё
Получается, что show_wait_box запускает цикл обработки оконных сообщений, а wasBreak действительно проталкивает очередное сообщение в очереди и таким образом msg проходят в "output window".

| Сообщение посчитали полезным:

show_wait_box я не делал, он предназначен для вывода своих сообщений в отдельное окно ожидания. wasBreak() же прерывает процесс вашего обработчика и дает отработать идашной ГУИ, возможно обновление окна сообщений как-то завязано с обработчиками новых окон или окном дизасма. У меня в основном рабочем цикле перед вызовом wasBreak() ещё иногда вызывается callui(ui_showauto, addr, AU_NONE);, но и одного wasBreak() должно быть достаточно, по крайней мере в ИДА 5.2 у меня всё работало, на более поздних не проверял...
Но у меня Ида поставлена в режим ожидания такими строками
show_wait_box("Decompiling...");
callui(ui_setstate, st_Work);
но, они вызываются однократно перед началом обработки, в цикле же только wasBreak()...

-----
Everything is relative...

| Сообщение посчитали полезным: ion

Vamit пишет:
но, они вызываются однократно перед началом обработки, в цикле же только wasBreak()

Я об этом и писал:
... сначала show_wait_box, а затем в цикле своего обработчика msg и сразу после него wasBreak ...
Можно и без msg, тогда вместо него любое сообщение в окно иды должно перерисовываться, например ваше callui(ui_showauto, addr, AU_NONE)

| Сообщение посчитали полезным:

Ида после анализа из некоторых данных сформировала структуры.
Например:

.text:004132D5 dd offset off_417B90 ; PropType
.text:004132D5 dd 0FF0001F8h ; GetProc
.text:004132D5 dd 0FF0001F8h ; SetProc
.text:004132D5 dd 1 ; StoredProc
.text:004132D5 dd 80000000h ; Index
.text:004132D5 dd 1 ; Default
.text:004132D5 dw 0Bh ; NameIndex
.text:004132D5 db 10,'AutoSelect' ; Name

Как в иде выяснить, что это за структура?
______________________________________________________________

Нашел.
Нужно правой кнопкой мыши по адресу и выбрать "List cross references from...",
или на клавиатуре "Ctrl+J" и в открывшемся окне будет искомая структура.

| Сообщение посчитали полезным:

Подскажите, пожалуйста, как средствами ида SDK назначить тип какому нибудь полю вновь созданной структуры в "C notation"
( как это делается с помощью клавиши "Y - Set type..." в оболочке )? Скажем, void**
______________________________________________________________________________

И снова отвечаю сам...

1. Получаем тип поля структуры в "C notation":


2. Задаем тип полю структуры в "C notation":


| Сообщение посчитали полезным: Vintersorg

ion пишет:
Подскажите, пожалуйста, как средствами ида SDK
...
И снова отвечаю сам:
Может вам лучше начать новый топик, типа "IDA SDK: записки постороннего"

| Сообщение посчитали полезным:

Есть код на подобии:

add edi, 4
cmp edi, 7
ja loc1
jmp 401000[edi*4]
loc2:
...
loc3:
...
loc4:
...

По адресу 401000 лежит таблица адресов состоящая из loc2, loc3, loc4, etc...
Вроде бы ничего криминального, но IDA пишет switch analysis failed и указывает на строку с jmp 401000[edi*4]

Что с этим можно сделать?

| Сообщение посчитали полезным:

Edi-Other-Specify switch idiom...

| Сообщение посчитали полезным: Kaimi

Кто-нибудь знает, есть ли скрипт какой (или еще какой способ) подправить негативные смещения в структурах? (эт когда вместа указателя на начало передает указатель где-то на середину и при обращении к первым элементам структуры - минусует).

| Сообщение посчитали полезным: