PPLorer

PPLorer は、PPL 呼び出しを実際の基盤となる PPL 関数に解決する IDA プラグインです。

インストール

1. ida-netnode を IDA がインポートできる場所にインストールします。
2. リポジトリをクローンし、~/.idapro/plugins/pplorer.py をクローンしたリポジトリ内の pplorer.py にシンボリックリンクします。

使用方法

予備解析

1. IDB を開き、自動解析が完了していることを確認します
2. メニューから Edit -> Plugins -> PPLorer -> Analyse IDB を選択します
3. 完了です!

継続的な使用

TL;DR 適切な場所で CTRL-SHIFT-X または Right Click -> Jump to PAC XREFs を実行すると、選択ウィンドウが開きます。

コールサイトから PPL 関数へ

1. PPL ゲートへの分岐命令（コメント「has xref to PPL」でマークされています）にカーソルを置きます。
2. ホットキーを押すか、メニューエントリをアクティブにします。
3. 一致する PPL 関数がポップアップ表示されます。

PPL 関数からコールサイトへ

1. PPL 関数の開始アドレスにカーソルを置きます。
2. ホットキーを押すか、メニューエントリをアクティブにします。
3. 可能なコールサイトのリストが開きます。

動作の原理

PPL には、カーネルからのすべての呼び出しが到達するゲートがあります。そのゲートの前で、各呼び出しは、呼び出したい PPL 関数のセレクタを所定のレジスタ (X15) に設定します。 制御は PPL ディスパッチに転送され、有効な関数が選択されたことを確認してから、PPL 関数テーブルに移動してそれを呼び出します。 ディスパッチを見つけ、PPL 関数テーブルのサイズとそのアドレスを抽出します。 次に、カーネル側からゲートへのすべての呼び出しを検出し、X15 に設定された PPL セレクタを取得します。 各呼び出しについて、PPL テーブルから関数を照合し、PPL テーブル上の各関数について、一致するすべてのカーネル呼び出しを追加します。

Meta

著作者: Cellebrite Labs の Omer Porzecanski。
pacXplorer に基づく (Cellebrite Labs 在籍時の Ouri Lipner 作)。
IDA 8 向けに OS X、iOS 15.X+ の A12+ で開発・テスト済み。

一緒に働きたい

ここをクリック（リモート人材歓迎）