首页 / PYTHON / 利用IDA Python静态分析函数调用路径

利用IDA Python静态分析函数调用路径

内容导读

互联网集市收集整理的这篇技术教程文章主要介绍了利用IDA Python静态分析函数调用路径，小编现在分享给大家，供广大互联网技能从业者学习和参考。文章包含5083字，纯文字阅读大概需要8分钟。

内容图文

在挖掘设备的固件漏洞时，会面临没有源代码、无法动态跟踪调试的情况，此时就需要进行静态的人工分析。在静态人工分析过程中，往往需要围绕危险函数、用户输入提取需要重点分析的执行路径，以有效缩小分析范围。本文利用IDA Python脚本，实现了自动提取函数正、反向调用关系的功能，可有效辅助分析危险函数调用路径，用户输入流向等。

一、问题描述
近期在研究某款设备，由于该设备使用MIPS架构，IDA Pro的F5无法使用，安装的RetDec插件也不给力，给出的伪代码不忍直视；还有不少代码IDA Pro没有识别出来，且无法识别库函数；此外，固件使用传统的嵌入式操作系统（非类Linux）实现，不存在进程等高级概念，因此也没有解决动态调试的问题。在这种情况下，似乎只能人工静态分析了。

进行初步分析之后，发现需要先解决两个问题：一是将IDA pro无法识别的代码强制转换成代码，以完善IDA pro的交叉引用关系；二是以文本方式提取函数调用关系（正向、反向），取IDA pro的Xrefs graph to和Xrefs graphp from功能，IDA pro的这两个功能对稍微复杂一定的文件根本不存在实用性——显示的图形根本看不清。

二、强制转换未解析的代码
针对第一个问题，考虑到MIPS的指令均为32bit，可利用IDAPython遍历指定的地址空间，把未定义的部分全部转换成代码。具体的代码如下：

def define_func(beg, end):

cur = beg

if beg%4 != 0:

    cur = beg + 4 - beg%4 # 对齐

end = end - end%4

while cur < end:

    if ida_kernwin.user_cancelled():

        print(‘Cancelled‘)

        break

    cur_func = ida_funcs.get_func(cur)

    print("cur 0x%08x" % cur)

    if cur_func is None:

        if ida_funcs.add_func(cur):

            cur = ida_funcs.get_func(cur).endEA

        else:

            cur = cur + 4

    else:

        cur = cur_func.endEA

使用时步骤如下：

1、按shift+f2，在Execute script窗口中，Script language选择Python

2、把上述代码粘贴到Please enter script body中

3、点击Run，关闭Execute script窗口。

4、在Output window下方的Python【IDC】按钮右侧，执行define_func(0x8000000,0x80002000)，参数仅作示例，根据实际情况调整

三、获取函数调用树
1、正向调用树
正向调用树以指定函数为起点，根据指定递归深度，获取其所有子函数，通常应用于跟踪用户输入数据的流向。实现思路如下：遍历指定函数（由参数指定）代码，如果当前指令为函数调用，则递归，直到达到递归深度或者没有子函数的函数。具体代码如下：

import idautils

call_chain = [] # 存放正向调用链信息

def gen_call_chain(func_name, osintneting):

del call_chain[:]

f_call_out = open(‘d:\\call.csv‘, ‘w‘)

get_my_callee(func_name, osintneting, f_call_out)

f_call_out.close()

def get_my_callee(func_name, osintneting, fl):

#print(‘call %s %d‘ % (func_name, osintneting))

if ida_kernwin.user_cancelled():

    print(‘Cancelled‘)

    fl.close()

    exit()

str = ‘{0}\t‘.format(func_name)

call_chain.append(str)

addr = get_name_ea(0, func_name)

# 获取所有子函数

dism_addr = list(idautils.FuncItems(addr))

xref_froms = []

for ea in dism_addr:

    if ida_idp.is_call_insn(ea) is False:

        continue

    else:

        callee = get_first_fcref_from(ea)

        if callee != addr:

            xref_froms.append(callee)

xref_froms = set(xref_froms)

# 嵌套结束条件

osinteneting_end = False

if len(xref_froms) == 0:

    osinteneting_end = True

elif osintneting == -1:

    osinteneting_end = False

elif osintneting == 1:

    osinteneting_end = True

if osinteneting_end is True:

    for callee in call_chain:

        sys.stdout.write(callee)

        fl.write(callee)

    sys.stdout.write(‘\r\n‘)

    fl.write(‘\r\n‘)

    call_chain.pop()

    return

# 深度优先

for xref_from in xref_froms:

    callee_name = get_func_name(xref_from)

    if osintneting == -1:

        get_my_callee(callee_name, -1, fl)

    else:

        get_my_callee(callee_name, osintneting - 1, fl)

call_chain.pop()

使用方法参照“强制转换未解析的代码”一节中的方法，调用gen_call_chain函数即可。gen_call_chain函数的第一个参数是函数名，第二参数是递归的次数限制，如果为-1，则会一直递归到叶子函数（无子函数的函数）。在生成调用树时，每条调用路径对应一行文本，在IDA pro的Output window的输出如下

Python>gen_call_chain(‘start‘, 5)

start sub_4010E0 sub_400DD0 sub_401B40 sub_401B80

start sub_4010E0 sub_400DD0 sub_401B40 sub_401A00

start sub_4010E0 sub_400DD0 sub_444750 sub_472EB0

start sub_4010E0 sub_400DD0 sub_444750 sub_43F8C0

start sub_4010E0 sub_400DD0 sub_444750 sub_472FE0

start sub_4010E0 sub_400DD0 sub_444750 sub_43F920

start sub_4010E0 sub_400DD0 sub_40EFF0 sub_40EE10

2、反向调用树
反向调用树以指定函数为起点，根据指定递归深度，获取其所有父函数，通常应用于跟踪危险函数被调用的路径。实现思路如下：先获取引用指定函数（由参数指定）的函数，然后依次递归，直到达到递归深度或者没有父函数的函数。具体代码如下：

import idautils

r_call_chain = [] # 存放反向调用链信息

def gen_r_call_chain(func_name, osintneting):

del r_call_chain[:]

f_r_call_out = open(‘d:\\r_call.csv‘, ‘w‘)

get_my_caller(func_name, osintneting, f_r_call_out)

f_r_call_out.close()

def get_my_caller(func_name, osintneting, fl):

if ida_kernwin.user_cancelled():

    print(‘Cancelled‘)

    fl.close()

    exit()

str = ‘{0}\t‘.format(func_name)

r_call_chain.append(str)

addr = get_name_ea(0, func_name)

addr_ref_to = get_first_fcref_to(addr)

# 嵌套结束条件 

osinteneting_end = False

if addr_ref_to == BADADDR:

    osinteneting_end = True

elif osintneting == -1:

    osinteneting_end = False

elif osintneting == 1:

    osinteneting_end = True

if osinteneting_end is True:

    length = len(r_call_chain)

    for idx in range(length):

        fl.write(r_call_chain[length - idx - 1])

        sys.stdout.write(r_call_chain[length - idx - 1])

    fl.write("\n")

    sys.stdout.write(‘\r\n‘)

    r_call_chain.pop()

    return

# 深度优先

while (addr_ref_to != BADADDR) and (addr_ref_to != addr):

    parent_func_name = get_func_name(addr_ref_to)

    get_my_caller(parent_func_name, osintneting - 1, fl)

    addr_ref_to = get_next_fcref_to(addr, addr_ref_to)

    if addr_ref_to == BADADDR:

        r_call_chain.pop() # 如果没有引用函数，弹出当前函数

        break

使用方法参照“强制转换未解析的代码”一节中的方法，调用gen_r_call_chain函数即可。gen_r_call_chain函数的第一个参数是函数名，第二参数是递归的次数限制，如果为-1，则会一直递归到顶层函数（无父函数的函数）。在生成调用树时，每条调用路径对应一行文本，在IDA pro的Output window的输出如下：

Python>gen_r_call_chain(‘sub_4432E0‘, 5)

start sub_4010E0 sub_400DD0 sub_4432E0

sub_47D3F0 sub_4767D0 sub_474770 sub_4432E0

sub_496370 sub_4767D0 sub_474770 sub_4432E0

sub_480930 sub_47D020 sub_4432E0

sub_48C450 sub_47D020 sub_4432E0

sub_499C60 sub_47D020 sub_4432E0

sub_480930 sub_47D020 sub_4432E0

sub_48C450 sub_47D020 sub_4432E0

四、小结
通过上述IDAPython脚本，可方便获取指定函数的调用树。调用树的输出有两处，一处IDA pro的Output window；另一处是指定的文件，文件路径是硬编码的，各位看官可自行修改。暂时没有以插件方式实现，有兴趣的同学可以尝试下。

原文：http://blog.51cto.com/watertoeast/2287039

内容总结

以上是互联网集市为您收集整理的利用IDA Python静态分析函数调用路径全部内容，希望文章能够帮你解决利用IDA Python静态分析函数调用路径所遇到的程序开发问题。如果觉得互联网集市技术教程内容还不错，欢迎将互联网集市网站推荐给程序员好友。

内容备注

版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容，请发送邮件至 gblab@vip.qq.com 举报，一经查实，本站将立刻删除。

内容手机端

扫描二维码推送至手机访问。

本文链接：https://qyyshop.com/info/1152351.html

来源：【匿名】

【上一篇】python中的生成器【下一篇】浅谈PHP运行Python脚本的方法

更多 ►

【利用IDA Python静态分析函数调用路径】教程文章相关的互联网学习教程文章

2018-04-09 update利用python中的内置函数 eval() ，函数说明：def eval(*args, **kwargs): # real signature unknown"""Evaluate the given source in the context of globals and locals.The source may be a string representing a Python expressionor a code object as returned by compile().The globals must be a dictionary and locals can be any mapping,defaulting to the current globals and locals.If only globals...

python-如何使用函数注释来验证函数调用类型【代码】

我最近才发现有一种叫做函数注释的东西,但是我不太确定如何使用它.这是我到目前为止的内容：def check_type(f):def decorated(*args, **kwargs):counter=0for arg, type in zip(args, f.__annotations__.items()):if not isinstance(arg, type[1]):msg = 'Not the valid type'raise ValueError(msg)counter+=1return f(*args, **kwargs)return decorated@check_type def foo(a: int, b: list, c: str): #a must be int, b must be ...

python函数调用与参数传递（实例解析）

今天这篇文章我们就来了解一下python函数调用与参数传递相关的知识。当我们了解了什么是函数之后需要了解的就是python如何电用函数。毕竟只知道什么是函数而不知道python怎么调用调用函数的话那么只知道函数的定义也是没有什么作用的，废话不多说我们开始学习调用函数吧。函数调用：定义一个函数只给了函数一个名称，指定了函数里包含的参数，和代码块结构。这个函数的基本结构完成以后，你可以通过另一个函数调用执行，也可以直接...

python限制函数调用次数

下面为大家分享一篇python 限制函数调用次数的实例讲解，具有很好的参考价值，希望对大家有所帮助。一起过来看看吧如下代码，限制某个函数在某个时间段的调用次数，灵感来源：python装饰器-限制函数调用次数的方法(10s调用一次) 欢迎访问原博客中指定的是缓存，我这里换成限制访问次数，异曲同工#newtest.py #!/usr/bin/env python #-*- coding:utf-8 -*- import time def stat_called_time(func):cache={}limit_times=[10]def _ca...

python装饰器-限制函数调用次数的方法(10s调用一次)

下面为大家分享一篇python装饰器-限制函数调用次数的方法(10s调用一次)，具有很好的参考价值，希望对大家有所帮助。一起过来看看吧这是博主最近一家大公司的面试题，写一个装饰器，限制函数每10s调用一次。当时是笔试的，只写了大概的代码，回来后温习了python装饰器的基础知识，把代码写完了。决定写篇博客记录下。装饰器分为带参数得装饰器以及不带参数得装饰器。#不带参数的装饰器 @dec1 @dec2 def func():... #这个函数声明等价...

Python中实现结构相似的函数调用方法

python的dict用起来很方便，可以自定义key值，并通过下标访问，示例如下：代码如下: >>> d = {key1:value1, ... key2:value2, ... key3:value3} >>> print d[key2] value2 >>>lambda表达式也是很实用的东东，示例如下：代码如下: >>> f = lambda x : x**2 >>> print f(2) 4 >>>两者结合可以实现结构相似的函数调用，使用起来很方便，示例如下：示例一：不带参数代码如下: #! /usr/bin/python msgCtrl = "1 : pause\n2 : stop\n3...

python中私有函数调用方法解密

本文实例讲述了python中私有函数调用方法。分享给大家供大家参考，具体如下：与大多数语言一样，Python 也有私有的概念： ① 私有函数不可以从它们的模块外面被调用 ② 私有类方法不能够从它们的类外面被调用 ③ 私有属性不能够从它们的类外面被访问与大多数的语言不同，一个 Python 函数，方法，或属性是私有还是公有，完全取决于它的名字。如果一个 Python 函数，类方法，或属性的名字以两个下划线开始（但不是结束），它是私...

Python-Tkinter 使用for循环生成列表式Button及函数调用【代码】【图】

Tkinter是轻量级的图形化界面，在使用中我们可能遇到需要生成一串Button按钮的情况，如图：如果一个一个操作就太麻烦了，但我们可以通过for循环列表的形式来实现来看看以下例子： from tkinter import *def printf_button(f):print('press button:',f)if __name__ == '__main__':root = Tk()ButtonList = [0,0,0,0,0,0,0]#创建储存按钮对象的列表ValueList = ['1','2','3','4','5','6','7']#创建按钮文字的列表sx = 20for i in ra...

8.1---python函数调用

函数是用来重复使用的定义函数是有套路的，。。。 """ 1.首先要会写出裸代码，然后看看哪里是需要重复使用的 2.接下去将需要重复使用的代码转换成参数，带入到函数中 """ def Name ([lalala]):#执行体[return] #调用 Name() ? ? 简单的购买商品流程def m(a):b = ['pm','htc']if a in b:print('有货')dz()else:print('没有该商品') def Check_Information(addr):if addr not in ['北京','山东']:return Falseelse:return True def ...

python 数据结构理解迭代与递归递归的实例栈帧函数调用【代码】

# 递归的三个条件# 基本结束条件# 向基本结束条件演进# 调用自身 # 理解递归# 递归就是把大问题一步步不断的化解为小问题，小问题解决后在一步步依赖回去解决大问题。# (1+3+5+7+9) #　　　　　　　-> (1+(3+5+7+9)) #　　　　　　　　　　　　　　　　 ->(1+(3+(5+7+9)))#　　　　　　　　　　　　　　　　　　　　　　　　　　->(1+(3+(5+(7+9))))#　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　-...

Python_函数调用_数学函数_组合

在编程的语境下，“函数”这个词的意思是对一系列语句的组合，这些语句共同完成一种运算。定义函数的时候，你要给这个函数指定一个名字，另外还要写出进行运算的语句。定义完成后，就可以通过函数名来“调用”函数。一，函数调用一个函数调用的例子： >>> type(42) <class int>这个函数的名字就是tpye，括号里面的表达式叫做函数的参数，这个函数的结果是返回参数的类型。一般来说，函数都要“传入”一个参数，“返回”一个结果...

Python中实现结构相似的函数调用方法【代码】

这篇文章主要介绍了Python中实现结构相似的函数调用方法,本文讲解使用dict和lambda结合实现结构相似的函数调用,给出了不带参数和带参数的实例,需要的朋友可以参考下 python的dict用起来很方便，可以自定义key值，并通过下标访问，示例如下： >>> d = {'key1':'value1', ... 'key2':'value2', ... 'key3':'value3'} >>> print d['key2'] value2 >>>lambda表达式也是很实用的东东，示例如下： >>> f = lambda x : x**2 >>> print f(2...

杨桃的Python基础教程——第7章：Python函数（一）函数概述、函数调用

本人CSDN博客专栏：https://blog.csdn.net/yty_7 Github地址：https://github.com/yot777/Python-Primary-Learning 7.1 函数概述函数是组织好的，可重复使用的，用来实现单一，或相关联功能的代码段。函数能提高应用的模块性，和代码的重复利用率。 Python提供了许多内建函数，比如print()，也可以自己创建函数。创建函数的语法： def 函数名 (参数名): #注意def关键字和参数名的括号后必须有冒号函数体 ...

python-Turbogears通过函数调用更改用户【代码】

在TG1中,您可以通过执行以下操作来更改登录用户：identity.set_current_identity(identity)可以在TG2中做类似的事情吗？似乎repoze.who应该提供类似的内容,但我似乎找不到魔语. 或者,他们是否提供有关如何使用repoze.who的任何文档,而不是通常的方法,即询问登录名和密码,然后将该数据提交给/ login_handler.处理login_handler的代码在哪里？谢谢！解决方法:您可以使用标识符来记住新用户.默认情况下,TurboGears2中的用户由用户名标...