在 IDA/IDALib 中编写 IDAPython…

需要为 IDA 编写 IDAPython/IDALib 脚本，操作 IDB、调试内存/寄存器、遍历函数与基本块、调用 Hex-Rays 或批量处理二进制时使用。

适用场景

解决思路

1. 环境区分：IDAPython 脚本运行在 IDA GUI 内（Script Command、插件或 IDC console）；IDALib 用于 IDA 9.0+ 的无头分析，无需打开 GUI。
2. 寄存器操作：idc.get_reg_value('rax') 读取；idaapi.set_reg_val('rax', 1234) 设置。
3. 调试内存读取/写入：idc.read_dbg_byte(addr)、idc.read_dbg_memory(addr, size)、idc.read_dbg_dword(addr)、idc.read_dbg_qword(addr)、idc.patch_dbg_byte(addr, val)；用 idc.add_bpt(0x409437) 加断点；用 idaapi.get_imagebase() 获取映像基址。
4. 本地内存操作（修改 IDB）：idc.get_qword(addr)、idc.patch_qword(addr, val)、idc.patch_dword(addr, val)、idc.patch_word(addr, val)、idc.patch_byte(addr, val)、idc.get_db_byte(addr)、idc.get_bytes(addr, size)、idaapi.get_dword(addr)、idc.get_strlit_contents 读取字符串字面量。
5. 反汇编操作：GetDisasm(addr) 获取反汇编文本；idc.next_head(ea) 获取下一条指令地址；idc.create_insn(addr) 等价于 c/Make Code；ida_bytes.create_strlit 等价于 A/创建字符串；ida_funcs.add_func(addr) 等价于 p/创建函数；idc.del_items(addr) 等价于 U/取消定义。
6. 地址转换：idc.get_name_ea(0, '_sub_6051') 按函数名取地址。
7. 函数操作：ida_funcs.get_func(ea) 获取函数描述；用 for func in idautils.Functions(): print('0x%x, %s' % (func, idc.get_func_name(func))) 枚举所有函数。
8. 字节模式搜索：实现 find_bytes_list(bytes_pattern)，循环调用 idc.find_bytes(bytes_pattern, ea + 1)，直到 ida_idaapi.BADADDR，返回匹配地址列表；支持 '90 90 90 90 90' 和 '55 ??' 等模式。
9. Appcall 调用被调试函数：用 ida_idd.Appcall.byref('MyFirstGuess') 构造参数，调用 ida_idd.Appcall.check_passwd(passwd)，检查 res.value 判断密码；用 Appcall.byref 创建输入缓冲区，Appcall.buffer(' ', SizeOfBuffer) 创建输出缓冲区，调用 Appcall.decrypt_buffer(s_in, s_out, SizeOfBuffer) 并读取 s_out.value；用 Appcall.proto('kernel32_LoadLibraryA', 'int __stdcall loadlib(const char *fn);') 定义并调用 loadlib('dll_to_inject.dll')，用 Appcall.proto('kernel32_GetLastError', 'DWORD __stdcall GetLastError();') 调用 getlasterror()，用 Appcall.proto('kernel32_GetCommandLineA', 'const char *__stdcall getcmdline();') 调用 getcmdline()。
10. 交叉引用：for ref in idautils.XrefsTo(ea): print(hex(ref.frm))；简写 [ref.frm for ref in idautils.XrefsTo(start_ea)]。
11. 基本块遍历：用 idaapi.FlowChart(idaapi.get_func(fn), flags=idaapi.FC_PREDS) 遍历 fn 的基本块并打印 block.start_ea；用 block.succs() 遍历后继块，用 block.preds() 遍历前驱块。
12. 调试内存批量读/写：实现 patch_dbg_mem(addr, data) 逐字节调用 idc.patch_dbg_byte(addr + i, data[i])；实现 read_dbg_mem(addr, size) 逐字节调用 idc.read_dbg_byte(addr + i) 并返回 bytes(dd)。
13. 读取 64 位 std::string：实现 dbg_read_cppstr_64(objectAddr)，先 idc.read_dbg_qword(objectAddr) 取字符串指针，再逐字节 idc.read_dbg_byte(strPtr + i)，遇到 0 停止并拼接字符。
14. 读取 64 位 C 字符串：实现 dbg_read_cstr_64(objectAddr)，从 objectAddr 开始逐字节 idc.read_dbg_byte(strPtr + i)，遇到 0 停止并拼接字符。
15. 解析 GNU C++ std::map：实现 parse_gnu_map_header(address) 用 idc.read_dbg_qword(address + 0x10) 取 root；实现 parse_gnu_map_node(address) 用 idc.read_dbg_qword(address + 0x10) 取 left、idc.read_dbg_qword(address + 0x18) 取 right、data = address + 0x20；实现 parse_gnu_map_travel(address) 用工作列表遍历 root、left、right 并收集 data；例如 parse_gnu_map_travel(0x0000557518073EB0)。
16. 读取 XMM 寄存器（调试）：实现 read_xmm_reg(name)，创建 idaapi.regval_t()，调用 idaapi.get_reg_val(name, rv)，返回 struct.unpack('Q', rv.bytes())[0]。
17. 单步并等待调试事件：while ida_dbg.step_over(): wait_for_next_event(WFNE_ANY, -1); rip = idc.get_reg_value('rip')；在循环中处理。
18. 遍历函数内指令：for ins in idautils.FuncItems(0x401000): print(hex(ins))。
19. 获取函数被调用者：实现 ida_get_callees(func_addr)，用 idautils.Heads(func_addr, idaapi.get_func(func_addr).end_ea) 遍历，若 idaapi.is_call_insn(head) 则用 idc.get_operand_value(head, 0) 取 callee_ea 并加入列表。
20. 写入 double/复数内存：实现 float_to_double_bytearray(value)，用 ctypes.c_double(value) 和 ctypes.string_at(ctypes.byref(double_value), ctypes.sizeof(double_value)) 转 bytearray；实现 set_pos(x, y)，用 idc.get_reg_value('rbp') 取 rbp，complex_base = rbp - 0x260，分别 patch_dbg_mem(complex_base, ...) 和 patch_dbg_mem(complex_base + 8, ...)。
21. 枚举导入表：导入 ida_nalt；用 ida_nalt.get_import_module_qty() 取数量；对每个 i 用 ida_nalt.get_import_module_name(i) 取模块名；定义 imp_cb(ea, name, ordinal) 打印 ea/name/ordinal 并返回 True；调用 ida_nalt.enum_import_names(i, imp_cb)。
22. 判断地址是否为导入函数：实现 ida_is_import_function(addr)，遍历 ida_nalt.get_import_module_qty()，定义 imp_cb(ea, name, ordinal)，若 ea == addr 则设 is_find=True 并返回 False 停止，否则返回 True；返回 is_find。
23. 枚举导入地址：实现 ida_enum_import_addr()，遍历所有导入模块，定义 imp_cb(ea, name, ordinal) 将 ea 加入 import_addrs 并返回 True；返回列表。
24. 结构体成员遍历：实现 extract_struct_members(type_name)，创建 ida_typeinf.tinfo_t()，调用 tif.get_named_type(None, type_name)，用 tif.iter_struct() 迭代，取 iter.offset // 8 为偏移、iter.type.get_size() 为大小、iter.type._print() 为类型；例如 extract_struct_members('sqlite3_vfs')。
25. 枚举所有类型：til = ida_typeinf.get_idati(); for type_name in til.get_type_names(): print(type_name)。
26. 列出所有结构体类型：实现 list_struct_types()，用 ida_typeinf.get_idati() 取 til，遍历 til.get_type_names()，对每个 type_name 创建 ida_typeinf.tinfo_t()，调用 tif.get_named_type(None, type_name)，若 tif.is_struct() 则加入 types；返回 types。
27. Hex-Rays 反编译函数：dec = ida_hexrays.decompile(func_addr)；用 str(dec) 转文本并 print；已验证 IDA 9.0。
28. 打印不同成熟度的 microcode：实现 print_microcode(func_ea)，设置 maturity = ida_hexrays.MMAT_GLBOPT3（可选 MMAT_ZERO、MMAT_GENERATED、MMAT_PREOPTIMIZED、MMAT_LOCOPT、MMAT_CALLS、MMAT_GLBOPT1、MMAT_GLBOPT2、MMAT_GLBOPT3、MMAT_LVARS），创建 ida_hexrays.hexrays_failure_t()，用 idaapi.get_func(func_ea) 取 pfn，用 ida_hexrays.mba_ranges_t(pfn) 取 rng，调用 ida_hexrays.gen_microcode(rng, hf, None, ida_hexrays.DECOMP_WARNINGS, maturity)，创建 ida_hexrays.vd_printer_t()，调用 mba._print(vp)；例如 print_microcode(0x1229)。
29. 将自定义指令转换为用户定义调用：定义 udc_exit_t(ida_hexrays.udc_filter_t)，在 __init__ 中调用 ida_hexrays.udc_filter_t.__init__(self)，再用 self.init('int __usercall %s@<R0>(int status@<R1>);' % name) 初始化，保存 code 和 installed；实现 match(cdg) 判断 cdg.insn.itype == ida_allins.ARM_svc 且 cdg.insn.Op1.value == self.code；实现 install()/uninstall() 调用 ida_hexrays.install_microcode_filter(self, True/False) 并维护 installed；实现 toggle_install() 切换；用 udc_exit = udc_exit_t(0x900001, 'svc_exit'); udc_exit.toggle_install() 安装。
30. Hexrays_Hooks：定义 MicrocodeCallback(ida_hexrays.Hexrays_Hooks)，在 microcode(self, mba: ida_hexrays.mba_t) 中打印 'microcode generated.' 并 return 0；用 r = MicrocodeCallback(); r.hook() 挂钩。
31. OLLVM 在真实块入口设断点：给定 fn = 0x401F60，ollvm_tail = 0x405D4B 为 OLLVM 真实块合并点，用 idaapi.FlowChart(idaapi.get_func(fn), flags=idaapi.FC_PREDS) 遍历 block，对 block.succs() 中 succ.start_ea == ollvm_tail 的 block 打印并 idc.add_bpt(block.start_ea)；注意这是基于 xref 的启发式，不一定完全准确，可用 IDA 断点组批量管理。
32. 批量加断点：实现 brkall(l)，对 l 中每个 addr 调用 idc.add_bpt(addr)。
33. 固件辅助：搜索 x86 函数序言并创建函数：实现 make_x86_func()，用 find_bytes_list('55 8B') 找序言，对每个 h 依次 idc.del_items(h)、idc.create_insn(h)、ida_funcs.add_func(h)；已验证 IDA 9.0。
34. 获取基本块大小：实现 get_bb_size(bbaddr)，用 idaapi.FlowChart(idaapi.get_func(fn), flags=idaapi.FC_PREDS) 遍历，若 block.start_ea == bbaddr 则返回 block.end_ea - block.start_ea，否则抛异常 'Not found'；已验证 IDA 9.0。
35. 按地址获取基本块：实现 ida_get_bb(ea)，用 idaapi.FlowChart(idaapi.get_func(ea), flags=idaapi.FC_PREDS) 遍历，若 block.start_ea <= ea < block.end_ea 则返回 block，否则返回 None。
36. 按关键字搜索下一条指令：实现 search_next_insn(addr, insnkey, max_search=0x100)，循环 cnt < max_search，addr = idc.next_head(addr)，dis = GetDisasm(addr)，若 insnkey in dis 则返回 addr，否则 cnt += 1；搜索完返回 None；例如 search_next_insn(addr, 'movdqa')；已验证 IDA 9.0。
37. 取消定义一段范围：实现 undefine_range(start, end)，对 range(start, end) 中每个 i 调用 idc.del_items(i)；例如 undefine_range(func_start, func_end)；已验证 IDA 9.0。
38. 搜索反汇编文本：实现 search_text_all(text)，import idaapi, idc；start_ea = 0；循环调用 idaapi.find_text(ustr=text, x=0, y=0, sflag=idaapi.SEARCH_DOWN, start_ea=start_ea)，若为 idc.BADADDR 则 break，否则加入 result 并 start_ea = idc.next_head(start_ea)；返回 result；例如 for x in search_text_all('movdqa'): print(GetDisasm(x))；已验证 IDA 9.0。
39. NOP 函数：实现 nop_func(addr_func, arch='arm')，用 ida_funcs.get_func(addr_func) 取函数，取 start/end，打印范围；arch == 'x86' 时 nop_bytes = [0x90]，arch == 'arm' 时 nop_bytes = [0x1F, 0x20, 0x03, 0xD5]，否则报错；从 start 到 end 用 ida_ua.decode_insn(insn, ea) 取指令长度，按 nop_len 分块用 idc.patch_byte(ea + i + j, nop_bytes[j]) 写入 NOP，ea += length；例如 nop_func(0x401000, 'arm')。
40. IDALib 安装：cd idalib/python；pip install .；python py-activate-idalib.py。
41. IDALib 基本用法：先 import idapro（必须第一个 import），再 import idautils, idc；用 ida.open_database('samples/patch.so', True) 打开 idb/二进制；用 for func in idautils.Functions(): func_name = idc.get_func_name(func); print(...) 枚举函数；用 ida.close_database(save=True) 关闭并保存 idb。
42. IDALib 批量反编译到 JSON：编写 decompile.py，Usage: decompile.py <input_file_elf> <output_file_json>；导入 idapro、ida_hexrays、idautils、idc、os、sys、json；实现 _decompile_internal()，遍历 idautils.Functions()，打印函数名和地址，调用 ida_hexrays.decompile(func)，若 None 则 continue，str(dec_obj) 存入 result 的 name/address/decompiled；实现 decomple_export(file, out_file)，调用 ida.open_database(file, True)，执行 _decompile_internal()，调用 ida.close_database(save=False)，用 open(out_file, 'w').write(json.dumps(r, indent=4)) 写出；__main__ 校验 len(sys.argv) == 3，否则打印 Usage 并 sys.exit(1)，再调用 decomple_export(sys.argv[1], sys.argv[2])。
43. IDALib 多进程批量反编译：设置 args = {'NUM_WORKERS': 8, 'INPUT_DIR': '/Users/ctf/idek2024/baby2/baby', 'OUTPUT_DIR': '/Users/ctf/idek2024/baby2/decompiled', 'NUM_MAX_RETRY': 3}；实现 decomple_one(file, out_file)，循环执行 os.system('python3 decompile.py {} {}'.format(file, out_file))，若 out_file 存在则 break，否则 retry += 1，达到 NUM_MAX_RETRY 返回 'Failed to decompile {}'.format(file)，每次 sleep(1)；__main__ 中若 OUTPUT_DIR 不存在则 os.makedirs，列出 INPUT_DIR 文件，构造 files 和 out_files（out_file 为 basename + '.json'），用 multiprocessing.Pool(args['NUM_WORKERS']).starmap(decomple_one, zip(files, out_files)) 执行并打印非 None 结果。

适用边界 · 注意事项

• 没有 IDA/IDALib 安装或授权时不可用；IDALib 需要 IDA 9.0+。
• OLLVM 真实块识别基于 xref 到合并点的启发式，可能不准确，不能当作精确控制流恢复。
• NOP 函数仅支持 x86/ARM；其他架构需自行提供 NOP 字节。