python count函数用法 comm_使用idapython脚本解码样本中的字符串

0x00 背景

在一次样本分析过程中，碰到了如下函数，此函数功能为解码字符串。

按照平常的思路一般都是动态调试出字符串，然后在ida上打上注释。

如果此时同类型的样本量非常大，显然一个个的调试是不现实的。

这时便可以使用idapython辅助我们来对字符串进行解码。

此篇记下学习idapython脚本的过程。

0x01 确定解码过程

根据ida F5的结果来看，是将每个字节数据减去13

我们很容易能编写出GenerateStr函数，如下：def GenerateStr(data):

str_len = len(data)

decode_str = ""

if str_len != 0:

index = 0

while index < str_len:

decode_str += chr(ord(data[index]) - 13)

index += 1

return decode_str

0x02 确定调用GenerateStr的地址

在ida中，可以查找GenerateStr的引用来确定哪些地方调用了此函数

同样，在idapython中也提供了接口XrefsTo(func_addr, flags = 0)

0x03 获取GenerateStr的参数

通过观察，我们发现每次调用GenerateStr函数时，传入参数都是esi，则我们可以定位call GenerateStr，然后向上找mov esi, xxx，直到找到此指令时，xxx就是我们需要的参数地址

idapython脚本如下：def find_function_arg(addr):

while True:

# 获取上一条指令地址

addr = idc.PrevHead(addr)

# 判断当前指令的操作码为mov，且第一个操作数为esi

if GetMnem(addr) == "mov" and "esi" in GetOpnd(addr, 0):

# print "[+]Found it at 0x%x" % GetOperandValue(addr, 1)

break

# 返回第二个操作数

return GetOperandValue(addr, 1)

得到参数地址之后，我们要获取参数的内容，可以循环读直到空字符def get_string(addr):

output = ""

while Byte(addr) != 0:

output += chr(Byte(addr))

addr += 1

return output

0x04 完整代码def find_function_arg(addr):

while True:

addr = idc.PrevHead(addr)

if GetMnem(addr) == "mov" and "esi" in GetOpnd(addr, 0):

# print "[+]Found it at 0x%x" % GetOperandValue(addr, 1)

break

return GetOperandValue(addr, 1)

def get_string(addr):

output = ""

while Byte(addr) != 0:

output += chr(Byte(addr))

addr += 1

return output

def GenerateStr(data):

str_len = len(data)

decode_str = ""

if str_len != 0:

index = 0

while index < str_len:

decode_str += chr(ord(data[index]) - 13)

index += 1

return decode_str

if __name__ == '__main__':

func_addr = 0x00402F30

result = {}

for addr in XrefsTo(func_addr, flags = 0):

arg_addr = find_function_arg(addr.frm)

result[addr.frm] = (arg_addr, GenerateStr(get_string(arg_addr)))

# print result

for addr, (arg_addr, comm) in result.items():

# print "[+]CallFunc: ", hex(addr), "\tArgAddr: ", hex(arg_addr), "\tComm: ", comm

MakeComm(int(addr), comm) # 添加注释

MakeComm(int(arg_addr), comm) # 添加注释

print "done..."