IDA

#自动查找函数头并尽可能的识别为函数
def make_function(opcodes, align=1):
    start_ea = ida_ida.inf_get_min_ea()
    while (start_ea = 0):
        procea = idc.find_binary(start_ea, SEARCH_DOWN, opcodes)
        if (procea == idaapi.BADADDR):
            break

        start_ea = procea + 1
        if (procea % 2) == align:
            flags = ida_bytes.get_flags(procea-align)
            if ida_bytes.is_unknown(flags):
                ida_auto.auto_make_proc(procea-align)
                msg("%s: %X\n" % (opcodes, procea-align))

            func = ida_funcs.get_func(procea)
            if func != None:
                

经常在用IDA调试时, 一些断点如文件打开, 或是发送数据会频繁的断下来, 每次断下去查看是不是我们关注的数据, 以此判断来源, 这太费时间, 也常导致程序超时, 正常流程没法继续, 强大的IDA为我们提供了 脚本条件, 可以选择IDC或是Python.

如图:

在断点处右键编辑断点,

点击右边的按钮在输入框中输入脚本即可, 返回False表示不中断
返回 True 断点将激活中断下来. 以此我们还可以在条件中增加msg, 从而实现不中断而显示信息的功能. 下面给出一个示例脚本:

def dumpbytes(pdata, blen):
    msg("%03d: " % blen)
	for i in range(blen):
		msg("%02X " % get_byte(pdata+i))
	msg("\n")	
	
phead = get_dword(cpu.r1+4)
pdata = get_dword(phead)
binlen = get_word(phead+4)
dumpbytes(pdata, binlen)
if (binlen 

collabREate 用到了Google的GSON模块, 我们要先下载gson-2.8.5.jar
放在 collabREate/server/java 目录下,
打开命令提示符, 进入到 collabREate/server/java 目录
运行如下命令:
mkdir bin
javac -classpath .\gson-2.8.5.jar -d .\bin collabreate\server\*.java
编译后的文件保存在 bin目录下

测试编译的是否可以正常运行

java collabreate.server.ServerManager

将编译的文件打包成jar:
jar -cef collabreate.server.ServerManager collab.jar bin

上面生成的是 服务器管理的jar
将main方法更换为 collabreate.server.CollabreateServer 生成 服务器jar

jar命令为java自带的专用打包工具；

c 代表生成新的jar包；
e 代表可执行的类，亦即main方法所在的类。书写时要加上包名，在本例中是后面的 collabreate.server.ServerManager；
f 代表生成的jar包的名称，在本例中是collab.jar。此包名可以随意命名，没有规定；
bin 最后面的这个参数表示将bin目录下的所有文件都打包放到新的jar包中

另外发现了一个更不错的实现, 现在还是0.01版 IDArling
试用了一下, … Read More

首先VS要安装PythonTool
然后在Python里安装ptvsd模块: pip install ptvsd
将下面的脚本保存到IDA Plugins目录:

# filename: ptvsd_enable.py
import idaapi
import ptvsd

try:
    # Enable the debugger. Raises exception if called more than once.
    ptvsd.enable_attach(secret="IDA")
except:
    pass


class DebugPlugin(idaapi.plugin_t):
    flags = idaapi.PLUGIN_FIX
    comment = "PTVSD Debug Enable"
    help = "Enable debugging using PTVSD"
    wanted_name = "PTVSD"
    wanted_hotkey = 

我们要修改的地方就是这里了, 修改采用了IDA7绿色版中 微笑一刀 的Patch方法

替换代码X64为

X32替换后为

调用的指令如下

另一份放在python27目录里的python27.dll, 取目录部分改为, 是为了使用pip

32位下的修改要注意原有替换指令部分的重定位表对指令的影响还有我们增加的代码中, 对API调用的需要增加重定位表项, 并修正 IMAGE_DATA_DIRECTORY 中 BaseRelocationTable 的大小… Read More

经常碰到一些APK卡在 反编译APK源码 这一步, 经过调试发现是rtl230库中Zip提取代码的问题.
有些新的APK文件的压缩包中的最后修改时间与日期值为0, 而这将导致Zip提取的类库异常
这二个值为0将导致 rtl230中 System::Sysutils::EncodeDate 抛出异常, 于是卡死在这一步.
解决方法

未补丁前: