這篇文章簡(jiǎn)要介紹了我編寫的一個(gè)腳本，該腳本用調(diào)試輸出的名稱替換了IDA中的默認(rèn)函數(shù)名，希望它能為你創(chuàng)建自己的函數(shù)名提供基本知識(shí)。
免責(zé)聲明：這是我寫的一個(gè)小腳本的解釋，它幫助我可以在幾秒內(nèi)（而不是數(shù)周）映射大型二進(jìn)制文件。我鼓勵(lì)任何人修改腳本以供自己使用。我將這段代碼用于我自己的私人研究——如果你發(fā)現(xiàn)它有用或者修復(fù)了一個(gè)bug，那就要買瓶啤酒好好謝謝我了。存在的問(wèn)題我遇到的主要問(wèn)題是我需要映射一個(gè)沒(méi)有任何符號(hào)的大型二進(jìn)制文件。對(duì)于二進(jìn)制文件的第一個(gè)映射，我只有一個(gè)有限的時(shí)間框架，所以我必須找到一個(gè)更有效的方法來(lái)做到這一點(diǎn)。我非常喜歡為IDA編寫腳本，尤其是映射部分，這也是我在此情況下所做的。為了自動(dòng)化映射過(guò)程，我使用了一個(gè)簡(jiǎn)單的方式：查看是否有任何調(diào)試輸出——幸運(yùn)的是，二進(jìn)制文件有很多調(diào)試輸出。實(shí)例分析從裝配方面來(lái)看，調(diào)試輸出真是一個(gè)寶藏。它可以顯示函數(shù)的用途，還可以顯示真正的文件名，這有助于理解此函數(shù)所屬的模塊。值得注意的是，我最初研究的代碼是在x64 OS上運(yùn)行的8086程序集，而大多數(shù)函數(shù)都使用fastcall調(diào)用約定，因此我在我的文章中使用fastcall作為示例。
圖1：調(diào)試輸出帶指示性錯(cuò)誤字符串
圖2：使用源文件名調(diào)試輸出
查找日志函數(shù)名稱由于這段代碼有太多的調(diào)試輸出，我決定寫一些東西來(lái)處理它們。有幾種方法可以找出哪些函數(shù)處理調(diào)試輸出，其中一種方法是根據(jù)其內(nèi)部的libc函數(shù)調(diào)用或行為來(lái)查找這些函數(shù)，這是一種比較復(fù)雜和耗時(shí)的方法，但它看起來(lái)更優(yōu)雅。第二種方式是快速且粗暴的，特別是當(dāng)你沒(méi)有很多時(shí)間又急需時(shí)，我建議你使用它。在這種情況下，只需查看可執(zhí)行文件中的字符串并找到可疑的調(diào)試輸出，在找到它們之后，查看一些函數(shù)是否將它們作為參數(shù)接收。如果使用調(diào)試輸出作為參數(shù)重復(fù)調(diào)用函數(shù)，那么你可以在腳本中使用它。在創(chuàng)建腳本之前，我發(fā)現(xiàn)大約有10個(gè)不同的函數(shù)正在處理調(diào)試輸出，并且我還發(fā)現(xiàn)了寄存器中的字符串參數(shù)存儲(chǔ)在其中。我的解決方案我們的目標(biāo)是根據(jù)調(diào)試輸出更改IDA的默認(rèn)函數(shù)名稱。例如：
圖3：使用腳本更改函數(shù)名前后
接下來(lái)我將闡明腳本的不同部分。把它們放在一起正如我所說(shuō)的，至少有兩種方法可以找到調(diào)用的日志函數(shù)，一個(gè)懶人方案，一個(gè)非懶人方案。懶人方案遍歷所有程序集并查找“call”指令，然后查找?guī)в腥罩竞瘮?shù)名稱的參數(shù)。我決定將函數(shù)名稱組織為全局字典的一部分：
FUNCTIONS_REGISTERS = {Function_Name:Register, Function_Name_1, Register_1... }
函數(shù)名稱作為鍵，它們的值是調(diào)試輸出的相關(guān)寄存器。例如：
FUNCTIONS_REGISTERS = {'g_WriteLogFile': 'rdx', 'g_LogError': 'rdx'}
我為該部分編寫的腳本如下：
curr_addr = MinEA()
end = MaxEA()
while curr_addr
非懶人方案我想到的不那么懶惰的方法是將xref用于找到的相關(guān)函數(shù)。通過(guò)這種方式，我使用了相同的函數(shù)名字典。在這里，我所做的是找到每個(gè)函數(shù)的外部參照地址，即函數(shù)調(diào)用的地址。
for function_name in FUNCTIONS_REGISTERS.keys():
func_addr = idc.LocByName(function_name)
a = idautils.XrefsTo(func_addr, 1)
for xref in a:
curr_addr = xref.frm # ea in func
if curr_addr == idc.BADADDR:
pass
獲取函數(shù)參數(shù)這些函數(shù)中包含在調(diào)用指令之前分配的寄存器中存儲(chǔ)的調(diào)試輸出。因?yàn)槲矣姓{(diào)用指令本身的地址，所以我需要向后查找，并從調(diào)用指令地址開始找到相關(guān)的寄存器值。
獲取寄存器分配的地址名稱的代碼如下：
def get_string_for_function(call_func_addr, register):
"""
:param start_addr: The function call address
:return: the string offset name from the relevant register
"""
cur_addr = call_func_addr
start_addr = idc.GetFunctionAttr(cur_addr, idc.FUNCATTR_START)
cur_addr = idc.PrevHead(cur_addr)
# go through previous opcodes looking for assignment to the register
while cur_addr >= start_addr:
if idc.GetMnem(cur_addr)[:3] == "lea" and idc.GetOpnd(cur_addr, 0) == register:
str_func = idc.GetOpnd(cur_addr, 1)
return str_func
cur_addr = idc.PrevHead(cur_addr)
return str_func
我們有調(diào)試輸出地址了，現(xiàn)在我們需要考慮如何得到它引用的實(shí)際字符串。下面的代碼顯示了它是如何完成的：（例如：更改“aErrorSavingFil”->“Error saving file %1”。我們可以通過(guò)簡(jiǎn)單地從其名稱中提取地址然后獲取存儲(chǔ)在其中的字符串來(lái)實(shí)現(xiàn)。）
func_name = idc.GetString(idc.LocByName(addr)
從調(diào)試輸出到函數(shù)名在更改函數(shù)名稱之前，我們應(yīng)該稍微修改調(diào)試輸出格式，因?yàn)橐尸F(xiàn)的最終函數(shù)名稱應(yīng)該是干凈且可讀的，因此我在腳本中創(chuàng)建了一個(gè)函數(shù)。免責(zé)聲明：我在這里介紹的函數(shù)不是我使用的整個(gè)函數(shù)，它只對(duì)調(diào)試輸出進(jìn)行了一般性更改，如果你想為自己創(chuàng)建這樣的腳本，你應(yīng)該編寫一個(gè)函數(shù)來(lái)更改調(diào)試中的相關(guān)部分輸出格式。在此函數(shù)中，還從地址名稱中提取調(diào)試輸出字符串。def get_fixed_source_filename(addr):
"""
:param addr: The address of the source filename string
:return: The fixed source filename's string
"""
func_name = idc.GetString(idc.LocByName(addr)).replace("/", "_").replace(" ", "_")
func_name = "AutoFunc_" + func_name
# if the debug print is a path, delete the extension
if func_name.endwith(".c") or func_name.endwith(".h"):
func_name = func_name[:-2]
# you can add whatever you want here in order to have your preferred function name
return func_name
更改函數(shù)名稱更改函數(shù)名是腳本的最后一部分，可以通過(guò)運(yùn)行以下命令輕松完成：
idaapi.set_name(function_start, new_filename, idaapi.SN_FORCE)
值得注意的是，idaapi.SN_FORCE標(biāo)志只能用于IDA 7及更高版本。錯(cuò)誤的處理由于我有一個(gè)大型的二進(jìn)制文件，所以我偶爾會(huì)發(fā)現(xiàn)一些調(diào)試函數(shù)的不同點(diǎn)，雖然在99.9％的情況下不會(huì)發(fā)生錯(cuò)誤，但我也不能忽略其可能性。即使發(fā)生了一些錯(cuò)誤，腳本也會(huì)繼續(xù)在其他所有的函數(shù)上運(yùn)行，不過(guò)我還是想跟蹤錯(cuò)誤并更改失敗的函數(shù)名稱。發(fā)生這些錯(cuò)誤時(shí)，消息將顯示在輸出窗口中：
圖4：IDA輸出窗口，出錯(cuò)
錯(cuò)誤消息包含失敗的地址，日志函數(shù)名稱和函數(shù)的當(dāng)前名稱。結(jié)論總的來(lái)說(shuō)，它不是什么高深的事，這通常是我腳本中的所有代碼部分。希望它能幫助人們?cè)谒麄兊牡缆飞显黾哟a覆蓋率，或者只是打開他們到IDAPython的神奇世界。我希望你能喜歡這篇文章，也歡迎任何反饋。
| 
