18.IDA-创建自己的sig

工具

flirt68.zip

pcf.exe/pcf: 生成一个模式文件.pat
sigmake.exe: 生成一个签名文件.sig

流程

创建PAT

生成pat文件,pat.txt文件说明各个模式的格式。

第一部分

列举了它所代表的函数的初始字节序列，最长为32个字节。一些字节因为重定位的入口而有所不同，这些字节将得到“补偿”，每个字节以两点显示。。如果一个函数短于32个字节（例如前面代码中的_ffs函数），用点将模式填充到64个字符。

每个字节需要两个字符。要显示32个字节的内容，需要64个十六进制字符。

可以看到,OnFinalRelease函数的初始字节序为

85C974098B018B50046A01FFD2C3..........................

可以使用windbg查看下函数：

0:000> db 3e1010
003e1010 85 c9 74 09 8b 01 8b 50-04 6a 01 ff d2 c3 cc cc


其他部分

CRC16值、函数的字节长度以及函数引用的符号名称列表

创建sig

只要有两个函数的模式相同，就会发生冲突。如果不能解决冲突，在应用签名的过程中，我们就无法确定函数到底与哪一个签名相匹配。
只要存在冲存，sigmake生成的就不是.sig文件，而是一个排斥文件（.exc），.exc文件是文本文件，它详细说明了sigmake在处理模式文件时遇到的冲突
排斥文件是文本文件，它详细说明了sigmake在处理模式文件时遇到的冲突
每次运行sigmake失败都会产生以下注释，如再次失败，注释会附加在原来.ecx的最后
;--------- (delete these lines to allow sigmake to read this file)
; add '+' at the start of a line to select a module
; add '-' if you are not sure about the selection
; do nothing if you want to exclude all modules

随便找一个冲突点（可以看到它们的初始字节序列完全相同）
+?GetDrawState@DUICheckBox@DM@@QAEHXZ 14 3ACE 33C03981A000000074298B4920F6C1107407B803000000EB12F6C1027407B802
?GetDrawState@DUIRadioButton@DM@@QAEHXZ 14 3ACE 33C03981A000000074298B4920F6C1107407B803000000EB12F6C1027407B802

1. 删除上面4行以分号开头的注释
2.sigmake让你仅指定一个函数作为相关签名的匹配函数。任何时候，如果在数据库中发现一个对应的签名，并且你想应用一个函数的名称，那么，你可以在该函数名称前附加一个加号；如果你只想在数据库中添加某个函数的注释，则在该函数名称前附加一个减号；如果在数据库中发现对应的签名时，你不想应用任何名称，那么，你不需要添加任何符号。（+号只能有一个，-号和+号二者只能存一）
比如上面DUICheckBox使用了+号(注意比较初始字节序号)：

加载sig

成功生成签名文件后，你需要将它复制到你的/sig目录中，以便IDA使用这个文件。随后，你可以通过File▶Load File▶FLIRT Signature File访问这个新签名。

附

（1）为最大限度地减少冲突，请删除排斥文件开头的4个注释行。
（2）最多只能给冲突函数组中的一个函数附加+/-。
（3）如果一个冲突函数组仅包含一个函数，不要在该函数前附加+/-，让它保持原状即可。
（4）sigmake连续运行失败会将数据（包括注释行）附加到现有的任何.exc文件后。在再次运行sigmake之前，你必须删除这些额外的数据，并更正原始数据（如果这些数据是正确的，sigmake将不会再次运行失败）。

特别注意第四点，如果再次失败，.exc文件最后面会自动附加上面的注释行和失败地方，注意删除

IDB_2_PAT生成pat

可以在另一个IDA数据库生成pat，用于这个IDA数据库
如果只有dll,则反汇编该dll,然后用IDB_2_PAT插件生成.PAT文件然后sigmake生成.sig
http://www.openrce.org/downloads/details/26/IDB_2_PAT