ttddbg - Time Travel Debugging IDA-Plugin

⚠️ Achtung IDA-8-Benutzer: Die Verwendung von ttddbg mit IDA 8 erfordert vorerst einen Workaround, siehe Bekannte Probleme

Dieses Plugin fügt IDA einen neuen Debugger hinzu, der das Laden von Time Travel Debugging-Traces unterstützt, die mit WinDBG Preview erzeugt wurden.

Dieses Plugin unterstützt sowohl x86- als auch x64-Traces und damit auch IDA und IDA64.

Installation

Das Plugin kann mit dem Installer von der Release-Seite installiert werden. Der Installer installiert automatisch die erforderlichen Abhängigkeiten, sofern Sie eine Kopie von WinDBG Preview installiert haben.

Verwendung

Nach der Installation können Sie das Plugin verwenden, indem Sie in der IDA-Oberfläche den Debugger ttddbg auswählen und Ihre *.run-Datei als „Application“ angeben. Hilfe zum Generieren einer .run-Datei finden Sie in HOWTO_TIME_TRAVEL.md.

Die Funktionstracing-Funktion

Seit Version 1.1.0 unterstützt ttddbg ein neues Feature, das wir „Funktionstracing“ nennen. In der Debugging-Ansicht können Sie Funktionen zum Tracing markieren, indem Sie sie in den Functions- oder Module-Schnittstellen mit der rechten Maustaste anklicken. Sobald eine Funktion getraced wird, werden jeder Aufruf dieser Funktion sowie jede return-Anweisung im neuen Fenster Trace events aufgezeichnet.

Anhand der Funktionsinformationen aus Ihrer Reverse-Engineering-Arbeit extrahiert ttddbg auch die an die Funktion übergebenen Parameter sowie deren Rückgabewert. Symbole werden auf der Grundlage der in IDA verfügbaren Informationen, wie z. B. Enum-Werten, automatisch lesbar formatiert („pretty-printed“).

Bekannte Probleme

• Die Verwendung von IDA Pro 8.2 zusammen mit diesem Plugin führt beim Aufrufen des Debuggers zu einem Absturz. Dieses Problem scheint durch eine Inkompatibilität zwischen diesem Plugin und dem Plugin picture_search verursacht zu werden, das in IDA 8 neu ist. Das vorübergehende Entfernen von picture_search.dll und picture_search64.dll aus dem Ordner plugins behebt dieses Problem. Das Problem wurde an Hex-Rays gemeldet.

Erstellen des Projekts

Voraussetzungen:

• Eine Kopie des IDA SDK (im Download-Center mit Ihren IDA-Pro-Anmeldedaten erhältlich)
• Eine Kopie von TTDReplay.dll (normalerweise in C:\Program Files\WindowsApps\[WinDBG folder]\amd64\ttd\)
• Eine Kopie von TTDReplayCPU.dll (normalerweise in C:\Program Files\WindowsApps\[WinDBG folder]\amd64\ttd\)

Und dann lassen Sie CMAKE seine Magie wirken!

$ git clone [email protected]:airbus-cert/ttddbg.git --recursive
$ mkdir build
$ cd build
$ cmake ..\ttddbg -DIDA_SDK_SOURCE_DIR=[PATH_TO_IDA_SDK_ROOT_FOLDER] -DCPACK_PACKAGE_INSTALL_DIRECTORY="IDA Pro 7.7"
$ cmake --build . --target package --config release

Entwicklerecke

So erstellen Sie eine Dev-Solution:

$ git clone [email protected]:airbus-cert/ttddbg.git --recursive
$ mkdir build
$ cd build
$ cmake ..\ttddbg -DIDA_SDK_SOURCE_DIR=[PATH_TO_IDA_SDK_ROOT_FOLDER] -DBUILD_TESTS=ON

Danksagungen und Referenzen

Grüße an commial für seine Arbeit an ttd-bindings!