這篇文章簡要介紹了我編寫的一個腳本，該腳本用調試輸出的名稱替換了IDA中的默認函數名，希望它能為你創建自己的函數名提供基本知識。
免責聲明：這是我寫的一個小腳本的解釋，它幫助我可以在幾秒內（而不是數周）映射大型二進制文件。我鼓勵任何人修改腳本以供自己使用。我將這段代碼用于我自己的私人研究——如果你發現它有用或者修復了一個bug，那就要買瓶啤酒好好謝謝我了。存在的問題我遇到的主要問題是我需要映射一個沒有任何符號的大型二進制文件。對于二進制文件的第一個映射，我只有一個有限的時間框架，所以我必須找到一個更有效的方法來做到這一點。我非常喜歡為IDA編寫腳本，尤其是映射部分，這也是我在此情況下所做的。為了自動化映射過程，我使用了一個簡單的方式：查看是否有任何調試輸出——幸運的是，二進制文件有很多調試輸出。實例分析從裝配方面來看，調試輸出真是一個寶藏。它可以顯示函數的用途，還可以顯示真正的文件名，這有助于理解此函數所屬的模塊。值得注意的是，我最初研究的代碼是在x64 OS上運行的8086程序集，而大多數函數都使用fastcall調用約定，因此我在我的文章中使用fastcall作為示例。
圖1：調試輸出帶指示性錯誤字符串
圖2：使用源文件名調試輸出
查找日志函數名稱由于這段代碼有太多的調試輸出，我決定寫一些東西來處理它們。有幾種方法可以找出哪些函數處理調試輸出，其中一種方法是根據其內部的libc函數調用或行為來查找這些函數，這是一種比較復雜和耗時的方法，但它看起來更優雅。第二種方式是快速且粗暴的，特別是當你沒有很多時間又急需時，我建議你使用它。在這種情況下，只需查看可執行文件中的字符串并找到可疑的調試輸出，在找到它們之后，查看一些函數是否將它們作為參數接收。如果使用調試輸出作為參數重復調用函數，那么你可以在腳本中使用它。在創建腳本之前，我發現大約有10個不同的函數正在處理調試輸出，并且我還發現了寄存器中的字符串參數存儲在其中。我的解決方案我們的目標是根據調試輸出更改IDA的默認函數名稱。例如：
圖3：使用腳本更改函數名前后
接下來我將闡明腳本的不同部分。把它們放在一起正如我所說的，至少有兩種方法可以找到調用的日志函數，一個懶人方案，一個非懶人方案。懶人方案遍歷所有程序集并查找“call”指令，然后查找帶有日志函數名稱的參數。我決定將函數名稱組織為全局字典的一部分：
FUNCTIONS_REGISTERS = {Function_Name:Register, Function_Name_1, Register_1... }
函數名稱作為鍵，它們的值是調試輸出的相關寄存器。例如：
FUNCTIONS_REGISTERS = {'g_WriteLogFile': 'rdx', 'g_LogError': 'rdx'}
我為該部分編寫的腳本如下：
curr_addr = MinEA()
end = MaxEA()
while curr_addr
非懶人方案我想到的不那么懶惰的方法是將xref用于找到的相關函數。通過這種方式，我使用了相同的函數名字典。在這里，我所做的是找到每個函數的外部參照地址，即函數調用的地址。
for function_name in FUNCTIONS_REGISTERS.keys():
func_addr = idc.LocByName(function_name)
a = idautils.XrefsTo(func_addr, 1)
for xref in a:
curr_addr = xref.frm # ea in func
if curr_addr == idc.BADADDR:
pass
獲取函數參數這些函數中包含在調用指令之前分配的寄存器中存儲的調試輸出。因為我有調用指令本身的地址，所以我需要向后查找，并從調用指令地址開始找到相關的寄存器值。
獲取寄存器分配的地址名稱的代碼如下：
def get_string_for_function(call_func_addr, register):
"""
:param start_addr: The function call address
:return: the string offset name from the relevant register
"""
cur_addr = call_func_addr
start_addr = idc.GetFunctionAttr(cur_addr, idc.FUNCATTR_START)
cur_addr = idc.PrevHead(cur_addr)
# go through previous opcodes looking for assignment to the register
while cur_addr >= start_addr:
if idc.GetMnem(cur_addr)[:3] == "lea" and idc.GetOpnd(cur_addr, 0) == register:
str_func = idc.GetOpnd(cur_addr, 1)
return str_func
cur_addr = idc.PrevHead(cur_addr)
return str_func
我們有調試輸出地址了，現在我們需要考慮如何得到它引用的實際字符串。下面的代碼顯示了它是如何完成的：（例如：更改“aErrorSavingFil”->“Error saving file %1”。我們可以通過簡單地從其名稱中提取地址然后獲取存儲在其中的字符串來實現。）
func_name = idc.GetString(idc.LocByName(addr)
從調試輸出到函數名在更改函數名稱之前，我們應該稍微修改調試輸出格式，因為要呈現的最終函數名稱應該是干凈且可讀的，因此我在腳本中創建了一個函數。免責聲明：我在這里介紹的函數不是我使用的整個函數，它只對調試輸出進行了一般性更改，如果你想為自己創建這樣的腳本，你應該編寫一個函數來更改調試中的相關部分輸出格式。在此函數中，還從地址名稱中提取調試輸出字符串。def get_fixed_source_filename(addr):
"""
:param addr: The address of the source filename string
:return: The fixed source filename's string
"""
func_name = idc.GetString(idc.LocByName(addr)).replace("/", "_").replace(" ", "_")
func_name = "AutoFunc_" + func_name
# if the debug print is a path, delete the extension
if func_name.endwith(".c") or func_name.endwith(".h"):
func_name = func_name[:-2]
# you can add whatever you want here in order to have your preferred function name
return func_name
更改函數名稱更改函數名是腳本的最后一部分，可以通過運行以下命令輕松完成：
idaapi.set_name(function_start, new_filename, idaapi.SN_FORCE)
值得注意的是，idaapi.SN_FORCE標志只能用于IDA 7及更高版本。錯誤的處理由于我有一個大型的二進制文件，所以我偶爾會發現一些調試函數的不同點，雖然在99.9％的情況下不會發生錯誤，但我也不能忽略其可能性。即使發生了一些錯誤，腳本也會繼續在其他所有的函數上運行，不過我還是想跟蹤錯誤并更改失敗的函數名稱。發生這些錯誤時，消息將顯示在輸出窗口中：
圖4：IDA輸出窗口，出錯
錯誤消息包含失敗的地址，日志函數名稱和函數的當前名稱。結論總的來說，它不是什么高深的事，這通常是我腳本中的所有代碼部分。希望它能幫助人們在他們的道路上增加代碼覆蓋率，或者只是打開他們到IDAPython的神奇世界。我希望你能喜歡這篇文章，也歡迎任何反饋。
| 
