IDAChef

Un conjunto de herramientas de recetas/operaciones al estilo de CyberChef integrado en IDA Pro 9.x. Crea cadenas de transformación de datos de varios pasos —codificación, cifrado, compresión, hashing, extracción— y ejecútalas directamente sobre bytes o cadenas de tu base de datos de IDA. Aplica el resultado de vuelta al binario o colócalo como comentario.

┌──────────────┬──────────────────┬─────────────────────────────┐
│  Operations  │     Recipe       │         I/O Panel           │
│  (search)    │                  │                             │
│              │  ┌─ From Hex ──┐ │  Input:  5e 73 68 7d 6c... │
│  Data format │  │  XOR  [0x55] │ │  [Get Selected Bytes]      │
│  ▸ From Hex  │  │  ADD  [3]    │ │  [Get String @ Cursor]     │
│  ▸ To Hex    │  └─────────────┘ │  [From Clipboard]           │
│  ▸ From B64  │                  │                             │
│  ...         │  [Up] [Down]    │  [✓ Auto Bake]  [Bake!]    │
│              │  [Remove][Clear] │                             │
│  Encryption  │                  │  Output:  4b 58 87 7f e8    │
│  ▸ XOR       │  Arguments:      │  [Copy] [Output → Input]    │
│  ▸ AES Dec   │  Key: [0x55   ] │                             │
│  ...         │                  │  Address: [0x140001000]     │
│              │                  │  [Patch Bytes] [Set Comment] │
└──────────────┴──────────────────┴─────────────────────────────┘

Características

• 289 operaciones en 12 categorías — codificaciones, cifrados, compresión, hashing, extracción, redes, formateo de código y más
• Widget acoplable de IDA (Ctrl-Alt-C) — navegador de operaciones, constructor de recetas y panel de E/S todo en una sola ventana
• "Auto Bake" en vivo — cada cambio de parámetro recalcula al instante toda la cadena de recetas
• Integración directa con IDA — extrae los bytes seleccionados, toma la cadena bajo tu cursor (ASCII o UTF-16LE), aplica la salida de vuelta en el binario o establece comentarios; procesa por lotes todo un rango de direcciones de cadenas y aplica los resultados de vuelta
• Importación/exportación de recetas — guarda recetas como JSON y cárgalas de nuevo, incluidas recetas exportadas desde el propio CyberChef
• Expresiones de fórmula — encadena operaciones a nivel de byte en un solo paso: FromHex+XOR(0x55)+ADD(3) o FromBase64+NOT+ROL(3)
• Campos de argumento de crecimiento automático — campos monoespaciados que se expanden para ajustarse a tu clave/IV/salt, con indicaciones de longitud en bytes en vivo y detección del tamaño de clave AES
• Núcleo sin dependencias — hex, Base64/32/85, XOR, gzip/zlib/lzma, SHA*, CRC, extractores regex y más de 100 operaciones adicionales usan solo la biblioteca estándar de Python; AES/DES/RC4 disponibles con pycryptodome (opcional)

Instalación

1. Copia ambos idachef_plugin.py y la carpeta idachef/ en tu directorio de plugins de IDA:

   SO	Ruta
   Windows	%APPDATA%\Hex-Rays\IDA Pro\plugins\
   macOS	~/Library/Application Support/Hex-Rays/IDA Pro/plugins/
   Linux	~/.idapro/plugins/

   plugins/
     idachef_plugin.py
     idachef/
       __init__.py
       core/
         __init__.py
         dish.py
         formula.py
         logger.py
         operation.py
         recipe.py
         utils.py
       operations/
         __init__.py
         arithmetic.py
         ciphers.py
         codeformat.py
         compression.py
         encoding.py
         extractors.py
         hashing.py
         language.py
         networking.py
         other.py
         publickey.py
         textutils.py
       ui/
         __init__.py
         chef_widget.py
         qt_compat.py
   

2. (Opcional) Para el cifrado AES/DES/RC4: instala pycryptodome en el Python de IDA:

   "<ida>/python3/python.exe" -m pip install pycryptodome
   

   Todo lo demás — Base64/32/85, hex, XOR, ROT13/47, gzip/zlib/bzip2/lzma, MD5/SHA*, CRC, HMAC, extractores — funciona solo con la biblioteca estándar.

3. Reinicia IDA (o Edit → Plugins → IDAChef / Ctrl-Alt-C).

Uso

Apertura

Edit → Plugins → IDAChef o pulsa Ctrl-Alt-C.

Diseño de tres paneles

Todos los paneles están basados en divisores y son redimensionables libremente — arrastra los divisores entre columnas, entre la lista de recetas y su editor de argumentos, y entre las secciones Input / Output / Batch.

• Izquierda — Explorador de operaciones: árbol categorizado y con búsqueda. Haz doble clic en una operación para añadirla a tu receta. Escribe en el cuadro de búsqueda para filtrar por nombre, categoría o descripción.

• Centro — Receta: lista ordenada de operaciones. Haz clic en un paso para editar sus argumentos. Usa los botones Up / Down / Remove / Clear para reordenar o restablecer. Los argumentos se actualizan en vivo mientras escribes (con Auto Bake activado). Save Recipe / Load Recipe exportan e importan la cadena como JSON (también se copia al portapapeles); Load Recipe además acepta recetas exportadas desde CyberChef, asignando sus argumentos posicionales a los esquemas de IDAChef.

• Derecha — Panel de E/S:

  • Input: pega texto directamente, o extrae datos desde IDA:
    • Get Selected Bytes — lee la selección actual de la vista Hex / desensamblado y la muestra como una cadena hex
    • Get String @ Cursor — lee el literal de cadena en la posición actual del cursor (se detectan tanto cadenas ASCII como UTF-16LE)
    • From Clipboard — pega el contenido del portapapeles
  • Output: muestra el resultado final procesado en el formato elegido (Auto hex/text, Hex, UTF-8, Latin-1, Base64, Decimal Bytes, C Array, Python bytes, UTF-16LE Text)
  • Acciones:
    • Copy Output al portapapeles
    • Output → Input — reutiliza el resultado como nueva entrada
    • Patch Bytes at Address — escribe los bytes de salida en la dirección especificada en la base de datos de IDA
    • Set Comment at Address — establece el texto de salida como comentario en la dirección especificada

Análisis de la entrada

El texto de entrada se trata como texto plano (con soporte para escapes \xHH). Usa pasos explícitos en la receta — From Hex, From Base64, From Binary, etc. — para decodificar tu entrada antes de procesarla más.

Registro en la ventana de salida de IDA

Cada procesamiento imprime tres líneas en la ventana de salida de IDA:

Input: 5e6877497d7d71526c776d536c707c6c
Step 1 'From Hex' -> ^hwI}}qRlwmSlp|l
Step 2 'XOR' -> KX...
Result: KX...

• Input: el texto de entrada sin procesar (o la cadena de bytes decodificada desde IDA)
• Paso N 'Operación': la salida después de cada paso de la receta
• Resultado: la salida final

Todo el contenido de bytes se imprime como texto decodificado (UTF-8 con respaldo Latin-1), truncado a 300 caracteres. Los errores incluyen el índice del paso y el mensaje de la excepción.

Expresiones de fórmula

La operación Formula (compound) te permite encadenar múltiples operaciones a nivel de bytes en un único paso de receta usando una sintaxis de expresión:

FromHex+XOR(0x55)+ADD(3)      — decode hex, XOR with 0x55, add 3 (mod 256)
FromBase64+NOT+ROL(3)         — decode base64, bitwise NOT, rotate left 3
XOR(0xaa)+SHR(2)+AND(0x7f)   — XOR then shift-right then mask

Operaciones a nivel de byte compatibles: XOR, ADD, SUB, AND, OR, NOT, ROL, ROR, SHL, SHR, MUL, MOD