灰帽 Python之旅11.doc

11 IDAPYTHON---IDA 脚本 IDA Pro(前身为Ilfak Guilfanov)以其强大的静态分析功能当之无愧的成为逆向工程的首选。让我们记住它的缔造者，Hex-Rays SA (布鲁塞尔)。IDA如今已经能够在大多数平台上运行，能够分析大部分平台的二进制文件，同时提供了一个内置的调试器。IDA的扩展能力也是极其强大的，提供了IDC(IDA的脚本语言)和SDK(让开发者扩展方便IDA 插件)。 2004年Gergely和Ero Carrera开发了IDAPython插件，将强大的Python和IDA结合起来，使得自动化分析变得异常简单。而如今IDAPython被广泛的使用于各种商业产品（Zynamics 的BinNavi）和 开源工程（ PaiMei和PyEm）中。这一章，我们要学会IDAPython(以IDA Pro 5.2为目标)的安装以及重要的函数的使用，最后通过几个简单的例子进一步熟悉IDA自动化分析。 11.1 安装IDAPython 从/files/idapython-1.0.0.zip下载我们需要的压缩包。这个版本比较早，建议大家安装idapython-1.2.0_ida5.4_py2.5_win32.zip的版本，这个版本也可以用于ida5.5。 下载完后解压缩，将主目录下的python文件夹，复制到IDA的安装目录下（默认为C:\Program Files\IDA），将plugins目录下python.plw复制到IDA的plugins目录下（默认为C:\Program Files\IDA\plugins.）。 就当的驱动IDA，随意加载一个可执行文件，一旦初始化分析完成，就会看到底部的输出窗口中包含了IDAPython的信息，记得不加载文件的时候是不会出现的。如图11-1。 Figure 11-1: IDAPython成功安装之后的 IDA Pro的初始化信息 在文件菜单中将会看到多出两个选项，如图11-2 Figure 11-2: IDAPython成功安装后的 DA Pro文件菜单 连个新的选项分别是Python file和Python command，热键也设置好了。如果能够执行一个简单的Python命令，只要单击Python command选项，就会出现一个窗口，输入命令后，就会IDA的输出窗口中看到结果。Python file选项用于执行独立的IDAPython脚本，这也是这章要重点介绍的。先IDAPython已经成功安装，并且正常工作，接下来让我们了解下常用的DAPython函数。 11.2 IDAPython函数 IDAPython能够访问所有的IDC函数，我们只介绍一些会马上用到，为之后的IDAPython脚本编写做基础。IDC总共有100多个函数，有兴趣的可以研究研究。 11.2.1 常用函数 以下的函数都是在编写脚本的时候经常用到的。 ScreenEA() 获取IDA调试窗口中，光标指向代码的地址。通过这个函数，我们就能够从一个已知的点运行我们的脚本。 GetInputFileMD5() 返回IDA加载的二进制文件的MD5值，通过这个值能够判断一个文件的不同版本是否有改变。 11.2.2 段 在IDA中二进制文件被分成了不同的段，这些段根据功能分成了不同的类型（CODE, DATA, BSS, STACK, CONST,XTRN）。以下的函数用于分析获得各种段信息。 FirstSeg() 访问程序中的第一个段。 NextSeg() 访问下一个段，如果没有就返回BADADDR。 SegByName( string SegmentName ) 通过段名字返回段基址，举个例子，如果调用.text作为参数，就会返回程序中代码段的开始位置。 SegEnd( long Address ) 通过段内的某个地址，获得段尾的地址。 SegStart( long Address ) 通过段内的某个地址，获得段头的地址。 SegName( long Address ) 通过段内的某个地址，获得段名。 Segments() 返回目标程序中的所有段的开始地址。 11.2.3 函数 循环访问程序中的所有函数，确定函数的范围，是脚本编程中会经常碰到的问题。下面的函数对于处理函数非常有用。 Functions( long StartAddress, long EndAddress ) 返回一个列表，包含了从StartAddress到EndAddress之间的所有函数。 Chunks( long FunctionAddress ) 返回一个列表，包含了函数片段。每个列表项都是一个元组（chunk start, chun