IDR (Interactive Delphi Reconstructor) – декомпилятор исполняемых файлов (EXE) и динамических библиотек (DLL), написанных на языке Delphi и выполняемых в среде 32х-разрядных операционных систем Windows.



Программа, прежде всего, предназначена для компаний, занимающихся разработкой антивирусного программного обеспечения. Она также может в значительной мере помочь программистам в восстановлении утраченных исходных текстов программ.

Текущей версией программы могут обрабатываться файлы (как GUI, так и консольных приложений), скомпилированные компиляторами версий Delphi2 – Delphi2010. Ведется работа по поддержке Дельфи 2011.

Конечной целью проекта является разработка программы, способной восстановить большую часть исходных Delphi-текстов из скомпилированного файла, но пока IDR, как и другие Delphi-декомпиляторы, сделать этого не может. Тем не менее, IDR может значительно облегчить такой процесс. По сравнению с другими декомпиляторами анализ, выполненный IDR, отличается наибольшей полнотой и достоверностью. Кроме того, высокая интерактивность делает работу с программой комфортной и (не побоимся этого слова) приятной.

IDR выполняет статический анализ (анализируемый файл не запускается на выполнение), что позволяет безопасно изучать вирусы, трояны и прочие приложения, запуск которых опасен или нежелателен.

Программа не требует установки и не делает никаких записей в реестр Windows.


Официальный сайт:
kpnc.org/idr32
[Note] Недоступен после трагической гибели Криса (RIP)

Гитхаб
Github sources

Скачать:
Страница загрузки

Dropbox автора
https://www.dropbox.com/sh/9ran313nidqtagb/AADl_m_9GVYSiXUviZtDQWQHa?dl=0

Актуальная версия программы:

Исполняемый файл
Внимание! Требует наличия вспомогательных файлов и баз знаний!!!

Базы данных качать по
ссылке.

Для работы необходимо скачать базу знаний + последнюю версию программы

| Сообщение посчитали полезным:

У меня при нажатии на магическую кнопку выдает ошибку "Unknown argument type (refine prototype)"
Софт отсюда: http://sunnyphotos.ifolder.ru/15790676

| Сообщение посчитали полезным:

ajax
Билдер есть, однако требуется разрешить некоторые проблемы.
infini
Значит нужно описать прототип вызываемой функции.

| Сообщение посчитали полезным:

Предлагаю добавить в программу возможность анализа уже запущенного процесса, как в DeDe.

| Сообщение посчитали полезным: mak, hlmadip, Error13Tracer

Защиту от Думми можно сделать , сделал Анализ , скрипт сделал , полазил посмотрел что нужно , жму закрывать , спрашивает сохранить проект? Говорю да , потом через 5 сек передумал , жму опять закрыть и слово нет , там вылазиет месага с ошибкой по адресу XXXXXX ... Отменить сохранение так сделал)

-----
RE In Progress [!] Coding Hazard [!] Stay Clear of this Cube

| Сообщение посчитали полезным:

Dr3d
А пусть кто-нибудь из корифеев подскажет, как это проще всего сделать (лучше кодом, ссылок не надо, я их и сам могу найти и прочитать). Очень не хочется от декомпилятора отвлекаться.

| Сообщение посчитали полезным:

Дак исходники DeDe есть...

-----
.[ rE! p0w4 ].

| Сообщение посчитали полезным:

Ultras
Дык я знаю, что есть. Идею скажите, как это сделано, дальше - моя забота...

| Сообщение посчитали полезным:

А в чём там особая сложность идеи то? Запускается процесс, выводится окошко с кнопкой ОК. По нажатию дампится просто из памяти основной файл, база находится через перечисление модулей, размер из файла на диске взять можно. Разбиение на секции тоже из файла на диске. Импорт-не знаю, нужен или нет, зависит от проводимого анализа, обычно он тоже виден сразу без редиректов. А больше и не нужно ничего, наверно. Разве что ОЕП по сигнатурам найти.

| Сообщение посчитали полезным:

Имхо, нафик не нужно пока лезть в процесс. Для дампа юзать petools и т.п. С новыми рад студиями, crypto еще прибавится основной работы.

-----
От многой мудрости много скорби, и умножающий знание умножает печаль

| Сообщение посчитали полезным:

ajax поддерживаю, дамп и самому сделать несложно. А после последних багфиксов crypto, дампы открываются отлично.

| Сообщение посчитали полезным:

Может лучше попросить сделать плагины , а там уже пользователи сами сделают то что нужно ..

-----
RE In Progress [!] Coding Hazard [!] Stay Clear of this Cube

| Сообщение посчитали полезным:

mak
Плагины - это вряд ли, я их даже не закладывал, а переделывать архитектуру IDR мне уже не хочется, не вижу глубокого смысла.

| Сообщение посчитали полезным:

Не вижу смысла в плагинах. IDR это декомпилер, а не инструмент для взлома. Пусть лучше IDR действует в одну сторону. Если делать его глобальней, то на саму идею у автора времени не будет.

| Сообщение посчитали полезным:

Обновление 2.5.2.55 beta.

Из-за изменения флажков анализа добавлен импорт имен из idp-файла (можно перенести все изменения, сделанные в проекте, во вновь проанализированный файл);
Исправлен баг отображения прототипа абстрактного виртуального метода класса (например, TStrings.Clear);
Исправлен баг анализа функций после их редактирования;
Исправлен баг удаления поля класса (поля не удалялись, после этого возникала ошибка при редактировании и добавлении полей);
Исправлен баг добавления поля класса;
Исправлен баг отображения элементов формы.

| Сообщение посчитали полезным: sendersu, yanus0, Gideon Vi, obfuskator, XQuader, 4kusNick, DimitarSerg, _ruzmaz_, Isaev

А что должно происходить по File\Save Delphi Project? Я может что-то не так делаю, но у меня ничего не происходит.

| Сообщение посчитали полезным:

vden
В директории Projects домашней директории IDR (пока так сделано) будут файлы для загрузки в Дельфи.
to all
Основной функционал в развитии, поэтому ничему не удивляйтесь. Бета версия именно это и означает.

| Сообщение посчитали полезным: vden

beta = better than nothing

-----
От многой мудрости много скорби, и умножающий знание умножает печаль

| Сообщение посчитали полезным: _ruzmaz_, hlmadip

Кстати, кто-то в моем топике утверждал, что "многие будут благодарны" за возможность копировать текущий адрес в буфер. И где же благодарности?

| Сообщение посчитали полезным: sendersu, Airenikus, Error13Tracer, _ruzmaz_, ==DJ==[ZLO]

У тебя в названии продукта заявлено об интерактивности. Вот ее то пока и нет, поэтому лично я пока что использую IDR как генератор MAP файлов и проекта Delphi, а дальше уже другими средствами ведется анализ, действительно интерактивными. Поэтому сложно оценивать те малые добавки к интерактивности, что делаются сейчас. Я надеюсь, что когда ты полностью допилишь движок, то как раз начнешь разрабатывать эту область. Как анализатор, продукт уже давно переплюнул DeDe, возможно скоро выложу статью по анализу и доработки одного приложения при помощи IDR. В любом случае спасибо за тулзу.

-----
Yann Tiersen best and do not fuck

| Сообщение посчитали полезным:

PE_Kill
Вот ее то пока и нет
Вот она есть: редактирование членов класса, редактирование прототипа функций и процедур, определение участков как код, именование переменных. Это конечно не IDA, но мне лично пока хватает. Что еще нужно?

| Сообщение посчитали полезным:

crypto на днях столкнулся с такой проблемой.
есть обработчик (например на кнопочке) он через case вызывает нужный обработчик (в зависимости от выбраных условий) ну в моем случае в каких листбоксах какие еллементы выбраны. теперь суть проблемы. на проге висес аспрот, ну и немного поморфировал кусочек перед самим case. IDR дошел до jmp[eax*4] (case) и дальше остановился. я не возражаю. там дальше надо делать анализ.. НО я не смог его заставить перейти на нужный мне обработчик. т.е. я так понимаю если нет ссылки на функцию(распознанной IDR ) это считаюца данные и в код их никаким пряником не заманиш. тоже самое вышло и с вложенными в это вариант кейса процедурами. вздохнул, и отложил IDR...

-----
Наша работа во тьме, Мы делаем, что умеем. Мы отдаем, что имеем, Наша работа во тьме....

| Сообщение посчитали полезным:

VodoleY пишет:
на проге висес аспрот, ну и немного поморфировал кусочек перед самим case
Мой распаковщик не деморфит?

-----
Yann Tiersen best and do not fuck

| Сообщение посчитали полезным:

PE_Kill вопрос собственно не в деморфе. я та и руками выправлю. дело в том что IDR на casе упираеца рогом, и это было бы пол беды еслиб можно было дальше руками пойти (или я не знаю как)

-----
Наша работа во тьме, Мы делаем, что умеем. Мы отдаем, что имеем, Наша работа во тьме....

| Сообщение посчитали полезным:

VodoleY
Пришли мне файл и описание проблемы, посмотрю.
Archer
Вопрос свой снимаю - я почему-то в ssl оказывался...

| Сообщение посчитали полезным:

VodoleY
Делаешь так: Explore Address 5E909, Define As Code. После этого double click на 56ED29 прекрасно работает. Но ты прав, нужно как-то сделать юзабильнее.

| Сообщение посчитали полезным:

crypto пишет:
Но ты прав, нужно как-то сделать юзабильнее
Я бы сказал больше, пересмотри весь юзабилити гуя

-----
xchg dword [eax], eax

| Сообщение посчитали полезным:

crypto кстати кнопку Define As Code профтыкал. (раз у тя через пкм основная масса действий уж в попап добавил бы эту опцию ) видимо жара и на меня действует

-----
Наша работа во тьме, Мы делаем, что умеем. Мы отдаем, что имеем, Наша работа во тьме....

| Сообщение посчитали полезным:

void пишет:
пересмотри весь юзабилити гуя
критикуя, предлагай (с) кто-то

напишите список из 10 пунктов (мин) что можно и нужно сменить

| Сообщение посчитали полезным: VodoleY

VodoleY
раз у тя через пкм основная масса действий уж в попап добавил бы эту опцию
Добавить в попап для элементов юнита можно, только есть ли у тебя твердая уверенность, что приведенное бинарное начало нераспознанного фрагмента - это код? Для этого и открывается окошко Explorer, чтобы убедиться в этом. Можно конечно добавить цветом, что данный фрагмент может быть кодом, но как-то это не кошерно... да и промахи возможны.

| Сообщение посчитали полезным:

Предложение ПКМа было чисто из общего функционала интерфейса. ибо через него все идет. я собственно без притензий, работать можно и так. естественно что в твоем ИДР в первую очередь всех интересует функционал, а с мордой както пока и с такой проживем, я о том говорил что я честно даже на кнопку внимание не обратил, ибо на ее месте подсознательно ждал ОК. а все искал в меню, ибо это общая концепция твоего интерфейса на данный момент. ну бок с кейсом скорее даже не твой, а совокупности дизассемблирования и анализа. это тоже терпимо лиж бы можно было пойти дальше при условии что знаешь что делаешь
З.ы. и в плане копипаста попридираца. приятно было бы копировать селектет ариа а не весь текст

-----
Наша работа во тьме, Мы делаем, что умеем. Мы отдаем, что имеем, Наша работа во тьме....

| Сообщение посчитали полезным: