[系统安全] 五十五.恶意软件分析 (7)IDA Python基础用法及CFG控制流图提取详解[上]

#include <stdio.h>

int sub_num(int a, int b) {
    int s;
    s = a + b;
    printf("函数运算结果: %d\n",s);
    return s;
}

int main() {
    int i,m,n;
    int result=0;

    scanf("%d %d",&m,&n);
    printf("输入的数字为:%d %d",m,n);

    //条件语句
    if (m>10) {
        printf("数字大于10\n");
    }
    else {
        printf("数字小于等于10\n");
    }

    //循环语句
    for (i=0; i<=10; i++) {
        result += i;
        i++;
    }
    printf("1 + 2 + ... + 10 = %d\n",result);
    
    //函数
    result = result + sub_num(m,n);
    printf("最终输出结果: %d\n",result);
    return 0;
}

from easygraph.datasets import get_graph_karateclub
import easygraph as eg
G = get_graph_karateclub()
# Calculate five shs(Structural Hole Spanners) in G
shs = eg.common_greedy(G, 5)
# Draw the Graph, and the shs is marked by red star
eg.draw_SHS_center(G, shs)
# Draw CDF curves of "Number of Followers" of SH spanners and ordinary users in G.
eg.plot_Followers(G, shs)

Python>DataRefsTo(here())
<generator object refs at 0x00000197D0679B48>
Python>import idautils
Python>idautils.DataRefsTo(here())
<generator object refs at 0x00000197D0679B48>

Python>info = idaapi.get_inf_structure()
Python>print(info)
<ida_ida.idainfo; proxy of <Swig Object of type 'idainfo *' at 0x000001C3E0E48330> >

##################################
# idaapi
##################################
get_inf_structure() # info = get_inf_structure(), info.is32bit(), info.procName是处理器架构
FlowChart(get_func(ea)) #
##################################
# idautils
##################################
Functions() # 列出所有的函数，返回的是一个迭代器，其中的所有元素都是函数起始地址
Strings() # 列出所有字符串，每个字符串都有ea, length和strtype属性
Names() # 所有的name，包括函数名，字符串名
##################################
# ida_auto
##################################
auto_wait() # 批量处理脚本时用的，等待自动分析完成再进行分析，尽可能加，否则脚本可能无法完整执行
##################################
# ida_bytes
##################################
ida_bytes.get_byte(ea) # 获取一个字节
ida_bytes.get_word(ea) # 获取两个字节
ida_bytes.get_dword(ea) # 获取四个字节
# 修改数据类型，相当于手动操作时在对应位置按"D"
# 这里也可以循环操作，比如一大块内存都是通过bytes表示的，需要换成8bit、16bit或32bit表示可以这样
create_byte(ea, 1)
create_16bit_data(ea, 2) # 第二个参数搞不懂有啥用，就按字节数保持不变通过循环实现吧
create_32bit_data(ea, 4)
##################################
# ida_funcs
##################################
get_func(ea) # 返回当前地址对应的函数的一些信息，其中start_ea是起始地址，end_ea是结束地址
get_func_name(ea) # 获取这个地址对应的函数名
##################################
# ida_nalt
##################################
get_root_filename() # 获取当前二进制文件的名字
get_imagebase() # 获取加载基址
##################################
# ida_pro
##################################
qexit(code) # 退出当前界面，相当于exit
##################################
# ida_search
##################################
find_text(ea, 0, 0, string, ida_search.SEARCH_DOWN) # ea是地址，string是要找的字符，其它的不动就行
# 要跳到下一个位置需要如此更新: ea = idc.next_head(ea)
##################################
# ida_ua
##################################
create_insn(ea) # 将ea开始的数据转化为代码，注意得先用create_byte把所有数据都转成byte，否则不能用
##################################
# ida_xref
##################################
get_first_fcref_to(addr) # 找到第一个引用addr的地址，没有则返回-1(也可能是BADADDR=2^32 - 1)
get_next_fcref_to(addr)  # 调用上面的函数之后可以一直调用直到返回-1
get_first_cref_to(addr)  # 找第一个代码引用
get_next_cref_to(addr)
get_first_dref_to(addr)  # 找第一个数据引用
get_next_dref_to(addr)
##################################
# idc
##################################
find_func_end(ea)         # 给定一个IDA能够识别的函数的开头，返回函数结尾
prev_head(ea)             # ea位置上一条指令的地址(只能看相邻的地址，不能看跳转过来的位置)
next_head(ea)             # 下一条指令的地址
get_operand_type(ea, n)   # ea是指令地址，n代表第几个参数，感觉这个没啥用
get_operand_value(ea, n)  # 获取参数的值
get_strlit_content(ea)    # 获取ea位置的字符串，估计这个库在写的时候漏了一个l
print_insn_mnem(ea)       # 打印操作码，实用的多，要是一个地址没有数据，那么就会返回空字符串(即''，而不是None)
print_operand(ea, n)      # 打印操作数，n从0开始(第0个不是操作码，而是第一个操作数)，超出下标的是空字符串''

from idautils import Names, Strings, Functions
for name in Names():
  for string in Strings():
    if int(name[0]) = int(string.ea):
      print(hex(name[0]),str(name[1]),str(string))

from idc import GetDisasm, print_insn_mnem, get_operand_value
from ida_bytes import next_head
from ida_bytes import patch_byte
start = 0x798
end = 0xf67
ea = start
while ea < end:
  old_ea = ea
  instr1 = GetDisasm(ea)
  op1 = print_insn_mnem(ea)
  ea = next_head(ea, end)
  instr2 = GetDisasm(ea)
  op2 = print_insn_mnem(ea)
  if (op1 = 'jb' and op2 = 'jnb') or (op1 = 'jnb' and op2 = 'jb'):
    value1 = get_operand_value(old_ea, 0)
    value2 = get_operand_value(ea, 0)
    if value1 = value2:
      print(hex(old_ea), instr1)
      print(hex(ea), instr2)
      print(hex(value1), hex(value2))
      print('-' * 30)
      old_ea = next_head(ea, end)
      ea = value1
      
      for i in range(old_ea, ea):
      patch_byte(i, 0x90) # 填充对应位置的数据

import os
import subprocess
IDA_PATH = "E:\\Apps\\IDAPro7.5\\ida64.exe"
PLUGIN_PATH = ".\\get_end.py"

# 获取所有需要分析的二进制文件路径
ELF_PATH = 'E:\\feature-extractor\\heart\\'
elfs = os.listdir(ELF_PATH)
print('number of elfs:', len(elfs))
for elf in elfs:
  elf_path = ELF_PATH + elf
  cmd = IDA_PATH + " -c -A -S" + PLUGIN_PATH + " " + elf_path
  subprocess.call(cmd)

# 执行的时候按照下面的格式
# 传入的参数应该是命令行能识别的数据，如果按照上面那个批量脚本传一些python数据结构似乎是不行的
# ida -c -A -S"script_path argv[1] argv[2] argv[3]" filepath

# 在脚本文件中
import idc
def main(A, B, C):
  pass
  
if _ name _ = " _ main _ ":
  idc.Wait()
  main(idc.ARGV[1], idc.ARGV[2], idc.ARGV[3])
  idc.Exit(0)

from idaapi import *

#获取当前程序的函数列表
functions = [get_func_name(x) for x in Functions()]
for function in functions:
    print(function)