Использование IDA Pro (part 2)

Сейчас на форуме: -Sanchez- (+9 невидимых)

<< 1 ... 9 . 10 . 11 . 12 . 13 . 14 . 15 . 16 . 17 . 18 . 19 ... 21 . 22 . >>

Посл.ответ	Сообщение
Archer Ранг: 2014.5 (!!!!), 1278thx Активность: 1.34↘0.25 Статус: Модератор retired	Создано: 27 марта 2017 11:54 · Личное сообщение · #1 Обмен опытом использования и настройки интерактивного дизассемблера и отладчика IDA Pro. Прошлый топик Использование IDA Pro \| Сообщение посчитали полезным: oxfemale, gent0o0

OKOB Ранг: 527.7 (!), 381thx Активность: 0.16↘0.09 Статус: Участник Победитель турнира 2010	Создано: 11 сентября 2019 10:55 · Личное сообщение · #2 plutos пишет: для любителей языка GO В блоге (https://rednaga.io/2016/09/21/reversing_go_binaries_like_a_pro/) есть упоминание депозитария Егора Зайцева, но ссылка на его набор с поддержкой Go v.1.7. После этого Егор добавил поддержку старших версий https://gitlab.com/zaytsevgu/GoUtils2.0 и переехал на https://github.com/sibears/IDAGolangHelper Он докладывал это на Zeronigths в том же 2016 году https://2016.zeronights.ru/wp-content/uploads/2016/12/GO_Zaytsev.pdf ----- 127.0.0.1, sweet 127.0.0.1 \| Сообщение посчитали полезным: plutos
plutos Ранг: 622.6 (!), 521thx Активность: 0.33↗0.89 Статус: Участник _Вечный_Студент_	Создано: 14 сентября 2019 08:39 · Поправил: plutos · Личное сообщение · #3 --> findrpc <--: Ida script to extract RPC interface from binaries Idapython script to carve binary for internal RPC structures Usage: Just run the script findrpc.py. Features: •View in a glance which RPC clients and servers are embedded in the binary •Locate dispatch tables for RPC servers •Quickly rename every RPC proc handlers found •(On Windows) Generate decompiled IDL from RPC declarations ***************************************************** --> deReferencing <--is an IDA Pro plugin that implements new registers and stack views. Adds dereferenced pointers, colors and other useful information, similar to some GDB plugins (e.g: PEDA, GEF, pwndbg, etc). Supports following architectures: x86, x86-64, ARM, ARM64, MIPS32 and MIPS64 Requirements •IDA-Pro >= 7.2** ----- Give me a HANDLE and I will move the Earth.
plutos Ранг: 622.6 (!), 521thx Активность: 0.33↗0.89 Статус: Участник _Вечный_Студент_	Создано: 19 сентября 2019 02:08 · Личное сообщение · #4 --> IDAMAGNUM <--idamagnum is a plugin for integrating MagnumDB requests within IDA ----- Give me a HANDLE and I will move the Earth.
DenCoder Ранг: 324.3 (мудрец), 221thx Активность: 0.48↘0.37 Статус: Участник	Создано: 19 сентября 2019 20:46 · Поправил: DenCoder · Личное сообщение · #5 Не попадался никому часом плагин для иды(нормальный) для отладки скриптов на питоне? Пробую pdb. Не понравится, попробую Wing. p.s. Сам спросил и сам ответил ) ----- IZ.RU
dma Ранг: -12.6 (нарушитель), 11thx Активность: 0.05↘0.03 Статус: Участник	Создано: 19 сентября 2019 21:38 · Личное сообщение · #6 Может sark подойдет? --> Link <-- \| Сообщение посчитали полезным: DenCoder
DenCoder Ранг: 324.3 (мудрец), 221thx Активность: 0.48↘0.37 Статус: Участник	Создано: 19 сентября 2019 21:46 · Поправил: DenCoder · Личное сообщение · #7 У самого sark'а не нашёл отладки. Но на странице ссылка на ptvsd. Тоже стоит попробовать, только надо с pip разобраться. На 7ке pip нормально работает, не успел ещё испортить. А на xp не хочет - раньше всё стояло и pip в том числе. Хард полетел, не всё восстановил ----- IZ.RU
dma Ранг: -12.6 (нарушитель), 11thx Активность: 0.05↘0.03 Статус: Участник	Создано: 19 сентября 2019 22:08 · Личное сообщение · #8 У sark нашел еще > вот это <. Может тоже пригодится?
DenCoder Ранг: 324.3 (мудрец), 221thx Активность: 0.48↘0.37 Статус: Участник	Создано: 19 сентября 2019 22:13 · Личное сообщение · #9 Ну это и есть ptvsd ) ----- IZ.RU
dma Ранг: -12.6 (нарушитель), 11thx Активность: 0.05↘0.03 Статус: Участник	Создано: 19 сентября 2019 22:33 · Личное сообщение · #10 DenCoder пишет: Ну это и есть ptvsd ) А я и не обратил внимание, что "заточено" под студию. Увидел в заголовке слово Debugging и давай быстрей писать комментарий, чтобы потом гордиться тем, что помог советом самому DenCoder'у.
DenCoder Ранг: 324.3 (мудрец), 221thx Активность: 0.48↘0.37 Статус: Участник	Создано: 19 сентября 2019 22:49 · Личное сообщение · #11 Неплохо бы Wing под XP. Поставиться поставился, со скриптом/импортом разобрался, а запускаешь - не приложение Win32. На 7ке всё ставить - места мало. Этот комп пора на 7ку переводить Добавлено спустя 0 минут pdb попробую, что за зверь Добавлено спустя 1 минуту А ptvsd собирается минимум на VS2013, как-то тоже неудобство. Добавлено спустя 8 минут Хотя вроде увидел, что под VS2010 кто-то пытается поставить, и авторы утверждают, что VS2010 годен. ----- IZ.RU \| Сообщение посчитали полезным: dma
plutos Ранг: 622.6 (!), 521thx Активность: 0.33↗0.89 Статус: Участник _Вечный_Студент_	Создано: 19 сентября 2019 22:59 · Поправил: plutos · Личное сообщение · #12 Использую --> Wing Pro <--на Windows 7, по-моему самое оно. ----- Give me a HANDLE and I will move the Earth. \| Сообщение посчитали полезным: dma
reversecode Ранг: 1053.6 (!!!!), 1078thx Активность: 1.06↘0.81 Статус: Участник	Создано: 24 сентября 2019 00:41 · Поправил: reversecode · Личное сообщение · #13 contest 2019 is over with result
plutos Ранг: 622.6 (!), 521thx Активность: 0.33↗0.89 Статус: Участник _Вечный_Студент_	Создано: 24 сентября 2019 03:54 · Личное сообщение · #14 --> Pwnedbg <-- - debugging the IOS kernel in IDA Description: load the new IOS kernel cache in IDA, symbolize it, and debug it. ----- Give me a HANDLE and I will move the Earth.
DenCoder Ранг: 324.3 (мудрец), 221thx Активность: 0.48↘0.37 Статус: Участник	Создано: 27 сентября 2019 18:20 · Личное сообщение · #15 Глючно ведёт себя ида 6.8 в некоторых случаях. Вот такой фрагмент скрипта Code: print("tail %x" %addr) chsaddr += [addr] ce = getLastInstruction(addr) print("Last instruction %x" %ce) insn = DecodeInstruction(ce) ceEnd = ce + insn.size if Byte(ce) == 0xe8: ceEnd = ce nchs = [nch for nch in Chunks(fea)] print("Number of chunks before: %d" %len(nchs)) analyze_area(addr, ceEnd) print("Analyzing area %x - %x" %(addr, ceEnd)) nchs = [nch for nch in Chunks(fea)] print("Number of chunks after: %d" %len(nchs)) выводит Code: tail f1d5e2 Last instruction f1d5ea Number of chunks before: 184 Analyzing area f1d5e2 - f1d5ef Number of chunks after: 184 tail f1d9a5 Last instruction f1d9ae Number of chunks before: 184 Analyzing area f1d9a5 - f1d9b1 Number of chunks after: 1 И всё, что я создавал, кануло в лету Фрагмент кода, на котором это происходит Code: 00F1D9A5 040 mov [esp+44h], eax 00F1D9A9 040 pushf 00F1D9AA 040 push dword ptr [esp+48h] 00F1D9AE 040 retn 4Ch Видно из лога, что до анализа фрагмента чанки функции все на месте, после анализа - всё слетает. Автоанализ отключён. Никто с таким не сталкивался? ----- IZ.RU
DrVB_5_6 Ранг: 58.3 (постоянный), 50thx Активность: 0.04↗0.08 Статус: Участник	Создано: 28 сентября 2019 15:22 · Личное сообщение · #16 DenCoder пишет: Глючно ведёт себя ида 6.8 в некоторых случаях. Да в каждой версии багов до этого самого места... Ильфак хоть исправляет, когда пинаешься (ну если есть поддержка). Правда, меньше их не становится. Старые исправляет, новые появляются. Возможно, что что-то подобное уже исправлено в новых версиях... Удивляться, что в (уже очень древней) 6.8 что-то не работало вряд ли стоит... А глючить может где угодно...
DenCoder Ранг: 324.3 (мудрец), 221thx Активность: 0.48↘0.37 Статус: Участник	Создано: 28 сентября 2019 22:30 · Личное сообщение · #17 Решил разобраться, что же происходит внутри иды. Весь алго анализа внутри ida.wll. У анализатора иды есть несколько состояний, их можно пронумеровать(заданы, как десятичные числа): 10, 20, 25, 30, 35, 38, 40, 50, 60, 70, 80, 90, 200. В моём случае при анализе участка кода выше внутри функции analyze_area() получается состояние 30. После некоторых операций по свитч-кейс таблице передаётся управление на case 30, откуда вызывается внутренняя функция, в которой удаляется указанный тейл(remove_func_tail()), очищается вообще структура ранее созданной функции(clear_func_struct()), остаётся только несколько тейлов и добавляется новая функция с указанными границами(add_func_ex()). Разбираюсь дальше ----- IZ.RU \| Сообщение посчитали полезным: plutos
f13nd Ранг: 271.2 (наставник), 331thx Активность: 0.32↗1.49 Статус: Участник	Создано: 28 сентября 2019 23:03 · Личное сообщение · #18 Может я ничего не понимаю в этой жизни, но full analysis уродского огрызка из 4 инструкций, явно не относящегося к нормальному эпилогу - это такая неизбежная необходимость? На create_insn() можно пройтись по всем четырем (даже если анализ полностью выключен и следующая сама не объявится), в референсах инструкции <теоретически> должен появиться референс на следующую. ----- 2 оттенка серого
DenCoder Ранг: 324.3 (мудрец), 221thx Активность: 0.48↘0.37 Статус: Участник	Создано: 28 сентября 2019 23:08 · Поправил: DenCoder · Личное сообщение · #19 Законченый правильный анализ обфускированной таким образом функции, её фрагмента выставит правильные spd и даст понятие об использовании переменных. Просто это удобство, которого мы временно лишены в таких случаях. Под иду 7.0 скрипт переписывать, а не хотелось бы. Да и не уверен, что там всё ок бы работать. Чтобы это посмотреть, надо сначала скрипт переписать. Добавлено спустя 3 минуты На других фрагментах(тейлах) analyze_area() нормально отрабатывает, а на этом всё валит. Хочу разобраться, почему, и по возможности исправить. ----- IZ.RU
f13nd Ранг: 271.2 (наставник), 331thx Активность: 0.32↗1.49 Статус: Участник	Создано: 28 сентября 2019 23:27 · Поправил: f13nd · Личное сообщение · #20 DenCoder пишет: Хочу разобраться, почему, и по возможности исправить. Бери вон лучше auto_mark_range(long start, long end, long queuetype), к которой analyze_area() сводится, это примерно и есть то что надо. Вместо AU_USED и AU_FINAL можно сразу AU_CODE воткнуть. Кстати твой список констант очень напоминает AU_* ----- 2 оттенка серого \| Сообщение посчитали полезным: DenCoder, plutos
DenCoder Ранг: 324.3 (мудрец), 221thx Активность: 0.48↘0.37 Статус: Участник	Создано: 29 сентября 2019 00:09 · Личное сообщение · #21 f13nd пишет: Кстати твой список констант очень напоминает AU_* Так и есть, спасибо за подсказку! f13nd пишет: Бери вон лучше auto_mark_range(long start, long end, long queuetype), к которой analyze_area() сводится Этого мало, auto_mark_range() ставит только в очередь. Внутри analyze_area() ставится участок кода в очередь 2 раза, да - AU_USED(40) и AU_FINAL(200), а дальше вызывается внутренняя функция, в которой определяется состояние почему-то AU_PROC(30), потому и всё летит. Но мысль возникла - может просто вызвать auto_unmark() (В иде 6.8 autoUnmark)? Попробовал так, analyze_area() ничего не снесла. Как-то проверять надо состояние анализатора перед выполнением анализа Добавлено спустя 6 минут Да!!! Если выполнить autoWait(), то всё сразу летит. Выходит, в очереди много всего накопилось ещё при отладке скрипта. В общем, если перед анализом на диапазоне выполнить autoCancel(), то всё ок работает. Добавлено спустя 16 минут Научиться бы ещё просматривать, что в очереди. И как бы отменять их все сразу? ----- IZ.RU
f13nd Ранг: 271.2 (наставник), 331thx Активность: 0.32↗1.49 Статус: Участник	Создано: 29 сентября 2019 00:30 · Личное сообщение · #22 DenCoder пишет: если перед анализом на диапазоне выполнить autoCancel(), то всё ок работает. Еще один укол пеницилина покойнику Давно пора гидрой все это делать. ----- 2 оттенка серого
morgot Ранг: 69.9 (постоянный), 81thx Активность: 0.14↗0.73 Статус: Участник	Создано: 29 сентября 2019 00:41 · Личное сообщение · #23 Тупой вопрос на фоне остального, но - можно ли поменять цвет стрелок в IDA view (там, где условные переходы). Там зеленый и красный вроде, они мне сливаются в один. Хотелось бы поставить, скажем, желтый и синий или еще как нибудь более контрастно (если это реально).
f13nd Ранг: 271.2 (наставник), 331thx Активность: 0.32↗1.49 Статус: Участник	Создано: 29 сентября 2019 00:55 · Личное сообщение · #24 morgot, --> Link <-- ----- 2 оттенка серого \| Сообщение посчитали полезным: morgot
plutos Ранг: 622.6 (!), 521thx Активность: 0.33↗0.89 Статус: Участник _Вечный_Студент_	Создано: 29 сентября 2019 00:59 · Поправил: plutos · Личное сообщение · #25 To morgot цвет именно стрелок не менял, но если использовать --> CSS-based styling <--, то много чего можно сделать. Так что попробуй поиграть с ним. fiend опередил, возможно его способ проще. ----- Give me a HANDLE and I will move the Earth. \| Сообщение посчитали полезным: morgot
DenCoder Ранг: 324.3 (мудрец), 221thx Активность: 0.48↘0.37 Статус: Участник	Создано: 29 сентября 2019 01:01 · Поправил: DenCoder · Личное сообщение · #26 f13nd пишет: Давно пора гидрой все это делать. Она отлажена? Косяков не больше, чем в иде? morgot пишет: можно ли поменять цвет стрелок в IDA view (там, где условные переходы). Вообще-то, меню Options -> Colors -> Graph. Твои будут Yes Edge и No Edge, меняй, сколько хочешь ) В 7.0 не проверял, ставить надо, винду переставлял ----- IZ.RU \| Сообщение посчитали полезным: morgot
f13nd Ранг: 271.2 (наставник), 331thx Активность: 0.32↗1.49 Статус: Участник	Создано: 29 сентября 2019 01:18 · Личное сообщение · #27 DenCoder пишет: Она отлажена? Косяков не больше, чем в иде? Косяков не меньше, зато сам процесс анализа понятней, прозрачней и глубже. И вмешаться можно на любом этапе. При желании можно вообще от всего отказаться и насухую листинг самому анализировать по псевдокоду, который дизасм отдает. Или даже влезть в дизасм, если чем-то не устраивает. ----- 2 оттенка серого
plutos Ранг: 622.6 (!), 521thx Активность: 0.33↗0.89 Статус: Участник _Вечный_Студент_	Создано: 29 сентября 2019 04:23 · Поправил: plutos · Личное сообщение · #28 f13nd пишет: зато сам процесс анализа понятней, прозрачней и глубже. И вмешаться можно на любом этапе Поскольку все познается в сравнении, не мог бы ты, если возможно, сделать что-то вроде краткого сравнительного анализа: взять один и тот же код и показать, что делает ида и гидра (не весь listing, конечно, а именно ключевые критические моменты, на которые стоит обращать внимание). Но обязательно с комментариями, типа "вот тут гидра бьет иду и наоброт". Лично мне это бы очень помогло в понимании обоих tools и создании полной, обьемной картины анализа. ----- Give me a HANDLE and I will move the Earth. \| Сообщение посчитали полезным: DenCoder
DenCoder Ранг: 324.3 (мудрец), 221thx Активность: 0.48↘0.37 Статус: Участник	Создано: 29 сентября 2019 08:38 · Поправил: DenCoder · Личное сообщение · #29 Сколько я времени в прошлом потратил на новые "передовые" инструменты. Моё мнение - всё новое - ЗЛО! f13nd пишет: Или даже влезть в дизасм, если чем-то не устраивает. Движок может быть с сюрпризом таким, что много чего переписывать, может быть, придётся. А времени, как всегда, ни на что не хватает. ----- IZ.RU
f13nd Ранг: 271.2 (наставник), 331thx Активность: 0.32↗1.49 Статус: Участник	Создано: 29 сентября 2019 17:11 · Поправил: f13nd · Личное сообщение · #30 plutos пишет: взять один и тот же код и показать Допустим есть некоторый известный всем алгоритм и он в x86 (это шулерский прием сравнивать иду по x86, но некоторые считают, что кроме него ничего не существует) Берем точку входа в него и падаем вниз (пусть не будет тейлов, это шулерский прием, но тейлы тут погоды не сделают): Code: import idaapi from pprint import pprint ea = 0x0040101D; crefs = [] while True: cref = ida_xref.get_first_cref_from(ea) if cref != BADADDR: crefs.append(cref) while True: cref = ida_xref.get_next_cref_from(ea,cref) if cref == BADADDR: break; crefs.append(cref) print(hex(ea) + " " + idc.generate_disasm_line((ea),0)) if ea + ida_ua.decode_insn(ea) not in crefs: break ea = ea + ida_ua.decode_insn(ea) Code: 0x40101d push ebp 0x40101e mov ebp, esp 0x401020 push esi 0x401021 push edi 0x401022 mov esi, [ebp+arg_0] 0x401025 xor edi, edi 0x401027 xor eax, eax 0x401029 dec eax 0x40102a cmp edi, [ebp+arg_4] 0x40102d jnb short loc_401055 0x40102f movzx ecx, byte ptr [esi+edi] 0x401033 cmp ch, 8 0x401036 jnb short loc_401052 0x401038 movzx edx, cl 0x40103b xor edx, eax 0x40103d shr eax, 1 0x40103f shr cl, 1 0x401041 test edx, 1 0x401047 jz short loc_40104E 0x401049 xor eax, 0EDB88320h 0x40104e inc ch 0x401050 jmp short loc_401033 0x401052 inc edi 0x401053 jmp short loc_40102A 0x401055 not eax 0x401057 pop edi 0x401058 pop esi 0x401059 leave 0x40105a retn 8 Дизассемблировать ида могёт, никто не сомневался. Даже аргументы процедуры (процедуры!) правильно определила. Но меня до этого процесса не допустили, так что я хочу всё перепроверить или проделать это вместо иды. Пройтись по зависимостям, найти значения, используемые без предварительной инициализации (аргументы) и значения инициализированные, но не использованные (потому что это не процедура). Вон mak недавно показывал, что это оказывается полезная практика. Для этого в иде есть microcode api и угадайте с 3 попыток почему я вам их не покажу. На самом деле этот скрипт демонстрирует почти все апи, которые в иде можно применить для анализа кода (кроме microcode api, которые для х86 пока большинство могут увидеть только на картинках). На этом с идой всё. Шуруем в гидру и смотрим что она может нам предложить. Code: import java.util.ArrayList; import java.util.List; import ghidra.app.script.GhidraScript; import ghidra.program.model.address.Address; import ghidra.program.model.listing.Instruction; public class test extends GhidraScript { @Override protected void run() throws Exception { Address ea = currentProgram.getAddressFactory().getDefaultAddressSpace().getAddress(0x0040101DL); Instruction insn = currentProgram.getListing().getInstructionAt(ea); while (insn != null) { println(insn.getAddress().toString() + " " + insn.toString()); insn = insn.getNext(); } } } Code: test.java> 0040101d PUSH EBP test.java> 0040101e MOV EBP,ESP ... test.java> 0040105a RET 0x8 Немного усложнив видим псевдокод, который можно анализировать. Code: import java.util.ArrayList; import java.util.List; import ghidra.app.script.GhidraScript; import ghidra.program.model.address.Address; import ghidra.program.model.listing.Instruction; import ghidra.program.model.pcode.PcodeOp; public class test extends GhidraScript { @Override protected void run() throws Exception { Address ea = currentProgram.getAddressFactory().getDefaultAddressSpace().getAddress(0x0040101DL); Instruction insn = currentProgram.getListing().getInstructionAt(ea); while (insn != null) { println(insn.getAddress().toString() + " " + insn.toString()); PcodeOp[] insn_pcode = insn.getPcode(); for (int i=0;i<insn_pcode.length;i++) { println(" " + insn_pcode[i].toString()); } insn = insn.getNext(); } } } Code: test.java> 0040101d PUSH EBP test.java> (unique, 0x1b50, 4) COPY (register, 0x14, 4) test.java> (register, 0x10, 4) INT_SUB (register, 0x10, 4) , (const, 0x4, 4) test.java> --- STORE (const, 0x1a1, 8) , (register, 0x10, 4) , (unique, 0x1b50, 4) test.java> 0040101e MOV EBP,ESP test.java> (register, 0x14, 4) COPY (register, 0x10, 4) test.java> 00401020 PUSH ESI ... Так делать нельзя, это только для демонстрации: Code: import java.util.ArrayList; import java.util.List; import ghidra.app.script.GhidraScript; import ghidra.program.model.address.Address; import ghidra.program.model.listing.Instruction; import ghidra.program.model.pcode.PcodeOp; import ghidra.program.model.pcode.Varnode; public class test extends GhidraScript { @Override protected void run() throws Exception { Address ea = currentProgram.getAddressFactory().getDefaultAddressSpace().getAddress(0x0040101DL); Instruction insn = currentProgram.getListing().getInstructionAt(ea); List<Long> initialized_not_used_registers = new ArrayList<Long>(); while (insn != null) { PcodeOp[] insn_pcode = insn.getPcode(); for (int i=0;i<insn_pcode.length;i++) { Varnode output = insn_pcode[i].getOutput(); Varnode input1 = insn_pcode[i].getInput(0); Varnode input2 = insn_pcode[i].getInput(1); if (input1!=null && input1.isRegister()) { if (initialized_not_used_registers.contains(input1.getOffset())) { initialized_not_used_registers.remove(input1.getOffset()); } } if (input2!=null && input2.isRegister()) { if (initialized_not_used_registers.contains(input2.getOffset())) { initialized_not_used_registers.remove(input2.getOffset()); } } if (output!=null && output.isRegister()) { if (!initialized_not_used_registers.contains(output.getOffset()))initialized_not_used_registers.add(output.getOffset()); } } insn = insn.getNext(); } for (Long varnode : initialized_not_used_registers) { println(""+varnode); } } } Code: test.java> 523 ... test.java> 0 ... Отфильтровав эту портянку можно будет найти в ней 0, соответствующий регистру eax в адресном пространстве регистров. Он был инициализирован "(register, 0x0, 4) INT_NEGATE (register, 0x0, 4)" и не использован. Это значение, которое функция возвращает. В аргументы не полез, для них нужно писать нормальный солвер, но главное что возможности есть. ----- 2 оттенка серого \| Сообщение посчитали полезным: Vintersorg, plutos, sim_19, omeh2003
DenCoder Ранг: 324.3 (мудрец), 221thx Активность: 0.48↘0.37 Статус: Участник	Создано: 29 сентября 2019 17:33 · Поправил: DenCoder · Личное сообщение · #31 Кому что больше нравится ) Если честно, джавовский код для меня ещё тот гемор, но только с недавних времён. Хочу о нём забыть пока что) ----- IZ.RU

<< 1 ... 9 . 10 . 11 . 12 . 13 . 14 . 15 . 16 . 17 . 18 . 19 ... 21 . 22 . >>

Для печати