PPLorer

PPLorer es un plugin de IDA que resuelve llamadas PPL hacia la función PPL subyacente real.

Instalación

1. instala ida-netnode en algún lugar donde IDA pueda importarlo
2. clona el repositorio y enlaza simbólicamente ~/.idapro/plugins/pplorer.py a pplorer.py en el repositorio clonado

Uso

Análisis preliminar

1. abre una IDB y asegúrate de que el autoanálisis haya terminado
2. desde el menú selecciona Edit -> Plugins -> PPLorer -> Analyse IDB
3. ¡listo!

Uso continuado

TL;DR CTRL-SHIFT-X o Clic derecho -> Jump to PAC XREFs en ubicaciones adecuadas abrirá una ventana de selección

Del sitio de llamada a la función PPL

1. coloca el cursor en una instrucción de salto a la puerta PPL (marcada con un comentario: "has xref to PPL").
2. pulsa la tecla de acceso rápido o activa la entrada del menú
3. aparecerá la función PPL correspondiente.

De la función PPL a los sitios de llamada

1. coloca el cursor en la dirección de inicio de una función PPL
2. pulsa la tecla de acceso rápido o activa la entrada del menú
3. se abrirá una lista de posibles sitios de llamada

Principios de funcionamiento

PPL tiene una puerta por la que pasan todas las llamadas del kernel. Antes de esa puerta, cada llamada individual coloca en un registro predeterminado (X15) el selector de la función PPL que quiere invocar. El control se transfiere al despachador PPL, que comprueba que se haya seleccionado una función válida y luego va a la tabla de funciones PPL y la llama. Encontramos el despachador, extraemos el tamaño de la tabla de funciones PPL y su dirección. Luego detectamos todas las llamadas a la puerta desde el lado del kernel y obtenemos el selector PPL que se coloca en X15. Para cada llamada, comparamos una función de la tabla PPL y para cada función de la tabla PPL añadimos todas las llamadas del kernel coincidentes.

Créditos

Escrito por Omer Porzecanski de Cellebrite Labs.
Basado en pacXplorer de Ouri Lipner durante su etapa en Cellebrite Labs.
Desarrollado y probado para IDA 8 en OS X, iOS 15.X+ para A12+

Quiero trabajar contigo

haz clic aquí (los talentos remotos son bienvenidos)