插件

先务必将ida目录下python/3/ida_idaapi.py中添加如下内容,启用ida 6.x语法(适应老插件),或者选择参照下方链接,对老插件进行移植

sys.modules["__main__"].IDAPYTHON_COMPAT_695_API=True # 添加
_BC695 = sys.modules["__main__"].IDAPYTHON_COMPAT_695_API # 在这行上方

Porting from IDAPython 6.x-7.3, to 7.4

建议列表:

keypatch:通过汇编修改二进制文件

rizzo:生成静态/动态库函数签名,并应用到去了符号表的(stripped)二进制文件上,恢复部分符号表(移植到python3)

LazyIDA:各类快捷键

findcrypt:加密算法识别

dsync:对照汇编和F5出来的c源码

个人Github仓库备份:https://github.com/cnwangjihe/ctf-collection

使用

  1. 在内存窗口展开结构体信息,显示field name

    Igor’s tip of the week #31: Hiding and Collapsing – Hex Rays (hex-rays.com)

  2. 加载额外类型信息

    shellcode - Structure Definitions for PEB in IDA - Reverse Engineering Stack Exchange