IDA 特征码生成和搜索脚本
最近比较忙，就少写两句，直接附上源代码，其中的细节点就不再赘述，如有疑问，请留言。
一共就是实现了两个函数，一个用于搜索特征码 (SearchPattern)，一个用于生成特征码 (GenerateFunctionSignature)。
函数的参数和返回值：
1.SearchPattern 接收一个必要参数 hexStr(即要搜索的特征码)，一个可选参数 num(最多返回多少个匹配的结果)，返回一个存放所有符合条件的地址的 list
2.GenerateFunctionSignature 接收一个必要参数 addr(即要生成特征码的地址的起始位置)，返回唯一的特征码字符串，例如输入地址：0x12345678，返回字符串 48 8B F2 4C 8B F1 E8 ?? ?? ?? ??
··· 以下是 SearchPattern 的实现：
1 import ida_bytes 2 import ida_ida 3 4 def SearchPattern(hexStr, num = 0): 5 ''' 6 hexStr： 输入的特征码字符串，例：41 80 BE ?? ?? ?? ?? 0F 84 ?? ?? 7 num： 搜索到多少个结果时返回，为 0 时搜索全部匹配的地址 8 ''' 9 10 # 生成掩码 11 bMask = hexStr.replace('00', '01') 12 bMask = bMask.replace('??', '00') 13 bMask = bytes.fromhex(bMask) 14 # print(bMask) 15 16 # 生成模式码 17 bPattern = hexStr.replace('??', '00') 18 bPattern = bytes.fromhex(bPattern) 19 # print(bPattern) 20 21 22 results = [] 23 ea = ida_ida.inf_get_min_ea() 24 25 while True: 26 ea = ida_bytes.bin_search( 27 ea + 1, 28 ida_ida.inf_get_max_ea(), 29 bPattern, 30 bMask, 31 1, 32 ida_bytes.BIN_SEARCH_FORWARD| ida_bytes.BIN_SEARCH_NOBREAK| ida_bytes.BIN_SEARCH_NOSHOW) 33 if ea == ida_idaapi.BADADDR: 34 break 35 else: 36 # 这里可以稍作修改，让返回值变为当前函数的首地址 37 results.append(hex(ea)) 38 if num != 0 and len(results) >= num: 39 break 40 # print("find {} result".format(len(results))) 41 42 return results 43 44 45 ## 测试 46 print(SearchPattern("48 8B C4 48 89 50 ??", 3))
··· 以下是 GenerateFunctionSignature 的实现：
1 import ida_bytes, ida_ua 2 3 def GenerateFunctionSignature(funcBase): 4 # 初始化要用到的变量 5 instruction = ida_ua.insn_t() 6 offset = 0 7 signature = "" 8 9 # 最多分析 100 条指令 10 for count in range(1, 101): 11 ida_ua.decode_insn(instruction, funcBase + offset) 12 offset += instruction.size 13 patternTemp = [0 for i in range(0, instruction.size)] 14 15 16 # 遍历当前指令的全部操作数，并将部分操作数的机器码置为 ?? 17 for op in instruction.ops: 18 if op.type == o_void: 19 continue 20 # 模糊位 ?? 的匹配条件： 21 # and op.type != ida_ua.o_phrase and op.type != ida_ua.o_displ 22 elif (op.type != ida_ua.o_reg): 23 for index in range(op.offb, instruction.size): 24 patternTemp[index] = "??" 25 26 27 # 读入除模糊位之外的机器码 28 for index in range(0, instruction.size): 29 if patternTemp[index] == "??": 30 pass 31 else: 32 byteStr = format(ida_bytes.get_byte(instruction.ea + index), '02X') 33 patternTemp[index] = byteStr 34 signature = signature + ' ' + patternTemp[index] 35 36 37 # 每分析 3 条指令，判断一次当前的 signature 是否唯一 38 if count%3 == 0: 39 if len(SearchPattern(signature, 2)) == 1: 40 print('unique signature') 41 return signature 42 else: 43 # print('not unique signature') 44 continue 45 46 return None 47 48 49 ## 测试 50 print("pattern = ", GenerateFunctionSignature(0x320E21F))