這篇文章簡要介紹了我編寫的一個腳本，該腳本用調(diào)試輸出的名稱替換了IDA中的默認函數(shù)名，希望它能為你創(chuàng)建自己的函數(shù)名提供基本知識。
免責聲明：這是我寫的一個小腳本的解釋，它幫助我可以在幾秒內(nèi)（而不是數(shù)周）映射大型二進制文件。我鼓勵任何人修改腳本以供自己使用。我將這段代碼用于我自己的私人研究——如果你發(fā)現(xiàn)它有用或者修復了一個bug，那就要買瓶啤酒好好謝謝我了。存在的問題我遇到的主要問題是我需要映射一個沒有任何符號的大型二進制文件。對于二進制文件的第一個映射，我只有一個有限的時間框架，所以我必須找到一個更有效的方法來做到這一點。我非常喜歡為IDA編寫腳本，尤其是映射部分，這也是我在此情況下所做的。為了自動化映射過程，我使用了一個簡單的方式：查看是否有任何調(diào)試輸出——幸運的是，二進制文件有很多調(diào)試輸出。實例分析從裝配方面來看，調(diào)試輸出真是一個寶藏。它可以顯示函數(shù)的用途，還可以顯示真正的文件名，這有助于理解此函數(shù)所屬的模塊。值得注意的是，我最初研究的代碼是在x64 OS上運行的8086程序集，而大多數(shù)函數(shù)都使用fastcall調(diào)用約定，因此我在我的文章中使用fastcall作為示例。
圖1：調(diào)試輸出帶指示性錯誤字符串
圖2：使用源文件名調(diào)試輸出
查找日志函數(shù)名稱由于這段代碼有太多的調(diào)試輸出，我決定寫一些東西來處理它們。有幾種方法可以找出哪些函數(shù)處理調(diào)試輸出，其中一種方法是根據(jù)其內(nèi)部的libc函數(shù)調(diào)用或行為來查找這些函數(shù)，這是一種比較復雜和耗時的方法，但它看起來更優(yōu)雅。第二種方式是快速且粗暴的，特別是當你沒有很多時間又急需時，我建議你使用它。在這種情況下，只需查看可執(zhí)行文件中的字符串并找到可疑的調(diào)試輸出，在找到它們之后，查看一些函數(shù)是否將它們作為參數(shù)接收。如果使用調(diào)試輸出作為參數(shù)重復調(diào)用函數(shù)，那么你可以在腳本中使用它。在創(chuàng)建腳本之前，我發(fā)現(xiàn)大約有10個不同的函數(shù)正在處理調(diào)試輸出，并且我還發(fā)現(xiàn)了寄存器中的字符串參數(shù)存儲在其中。我的解決方案我們的目標是根據(jù)調(diào)試輸出更改IDA的默認函數(shù)名稱。例如：
圖3：使用腳本更改函數(shù)名前后
接下來我將闡明腳本的不同部分。把它們放在一起正如我所說的，至少有兩種方法可以找到調(diào)用的日志函數(shù)，一個懶人方案，一個非懶人方案。懶人方案遍歷所有程序集并查找“call”指令，然后查找?guī)в腥罩竞瘮?shù)名稱的參數(shù)。我決定將函數(shù)名稱組織為全局字典的一部分：
FUNCTIONS_REGISTERS = {Function_Name:Register, Function_Name_1, Register_1... }
函數(shù)名稱作為鍵，它們的值是調(diào)試輸出的相關寄存器。例如：
FUNCTIONS_REGISTERS = {'g_WriteLogFile': 'rdx', 'g_LogError': 'rdx'}
我為該部分編寫的腳本如下：
curr_addr = MinEA()
end = MaxEA()
while curr_addr
非懶人方案我想到的不那么懶惰的方法是將xref用于找到的相關函數(shù)。通過這種方式，我使用了相同的函數(shù)名字典。在這里，我所做的是找到每個函數(shù)的外部參照地址，即函數(shù)調(diào)用的地址。
for function_name in FUNCTIONS_REGISTERS.keys():
func_addr = idc.LocByName(function_name)
a = idautils.XrefsTo(func_addr, 1)
for xref in a:
curr_addr = xref.frm # ea in func
if curr_addr == idc.BADADDR:
pass
獲取函數(shù)參數(shù)這些函數(shù)中包含在調(diào)用指令之前分配的寄存器中存儲的調(diào)試輸出。因為我有調(diào)用指令本身的地址，所以我需要向后查找，并從調(diào)用指令地址開始找到相關的寄存器值。
獲取寄存器分配的地址名稱的代碼如下：
def get_string_for_function(call_func_addr, register):
"""
:param start_addr: The function call address
:return: the string offset name from the relevant register
"""
cur_addr = call_func_addr
start_addr = idc.GetFunctionAttr(cur_addr, idc.FUNCATTR_START)
cur_addr = idc.PrevHead(cur_addr)
# go through previous opcodes looking for assignment to the register
while cur_addr >= start_addr:
if idc.GetMnem(cur_addr)[:3] == "lea" and idc.GetOpnd(cur_addr, 0) == register:
str_func = idc.GetOpnd(cur_addr, 1)
return str_func
cur_addr = idc.PrevHead(cur_addr)
return str_func
我們有調(diào)試輸出地址了，現(xiàn)在我們需要考慮如何得到它引用的實際字符串。下面的代碼顯示了它是如何完成的：（例如：更改“aErrorSavingFil”->“Error saving file %1”。我們可以通過簡單地從其名稱中提取地址然后獲取存儲在其中的字符串來實現(xiàn)。）
func_name = idc.GetString(idc.LocByName(addr)
從調(diào)試輸出到函數(shù)名在更改函數(shù)名稱之前，我們應該稍微修改調(diào)試輸出格式，因為要呈現(xiàn)的最終函數(shù)名稱應該是干凈且可讀的，因此我在腳本中創(chuàng)建了一個函數(shù)。免責聲明：我在這里介紹的函數(shù)不是我使用的整個函數(shù)，它只對調(diào)試輸出進行了一般性更改，如果你想為自己創(chuàng)建這樣的腳本，你應該編寫一個函數(shù)來更改調(diào)試中的相關部分輸出格式。在此函數(shù)中，還從地址名稱中提取調(diào)試輸出字符串。def get_fixed_source_filename(addr):
"""
:param addr: The address of the source filename string
:return: The fixed source filename's string
"""
func_name = idc.GetString(idc.LocByName(addr)).replace("/", "_").replace(" ", "_")
func_name = "AutoFunc_" + func_name
# if the debug print is a path, delete the extension
if func_name.endwith(".c") or func_name.endwith(".h"):
func_name = func_name[:-2]
# you can add whatever you want here in order to have your preferred function name
return func_name
更改函數(shù)名稱更改函數(shù)名是腳本的最后一部分，可以通過運行以下命令輕松完成：
idaapi.set_name(function_start, new_filename, idaapi.SN_FORCE)
值得注意的是，idaapi.SN_FORCE標志只能用于IDA 7及更高版本。錯誤的處理由于我有一個大型的二進制文件，所以我偶爾會發(fā)現(xiàn)一些調(diào)試函數(shù)的不同點，雖然在99.9％的情況下不會發(fā)生錯誤，但我也不能忽略其可能性。即使發(fā)生了一些錯誤，腳本也會繼續(xù)在其他所有的函數(shù)上運行，不過我還是想跟蹤錯誤并更改失敗的函數(shù)名稱。發(fā)生這些錯誤時，消息將顯示在輸出窗口中：
圖4：IDA輸出窗口，出錯
錯誤消息包含失敗的地址，日志函數(shù)名稱和函數(shù)的當前名稱。結(jié)論總的來說，它不是什么高深的事，這通常是我腳本中的所有代碼部分。希望它能幫助人們在他們的道路上增加代碼覆蓋率，或者只是打開他們到IDAPython的神奇世界。我希望你能喜歡這篇文章，也歡迎任何反饋。
| 
