IDAChef

Um kit de ferramentas de receitas/operações no estilo CyberChef incorporado no IDA Pro 9.x. Crie cadeias de transformação de dados com múltiplas etapas — codificação, criptografia, compressão, hashing, extração — e execute-as diretamente sobre bytes ou strings do seu banco de dados IDA. Aplique o resultado de volta no binário ou insira-o como comentário.

┌──────────────┬──────────────────┬─────────────────────────────┐
│  Operations  │     Recipe       │         I/O Panel           │
│  (search)    │                  │                             │
│              │  ┌─ From Hex ──┐ │  Input:  5e 73 68 7d 6c... │
│  Data format │  │  XOR  [0x55] │ │  [Get Selected Bytes]      │
│  ▸ From Hex  │  │  ADD  [3]    │ │  [Get String @ Cursor]     │
│  ▸ To Hex    │  └─────────────┘ │  [From Clipboard]           │
│  ▸ From B64  │                  │                             │
│  ...         │  [Up] [Down]    │  [✓ Auto Bake]  [Bake!]    │
│              │  [Remove][Clear] │                             │
│  Encryption  │                  │  Output:  4b 58 87 7f e8    │
│  ▸ XOR       │  Arguments:      │  [Copy] [Output → Input]    │
│  ▸ AES Dec   │  Key: [0x55   ] │                             │
│  ...         │                  │  Address: [0x140001000]     │
│              │                  │  [Patch Bytes] [Set Comment] │
└──────────────┴──────────────────┴─────────────────────────────┘

Recursos

• 289 operações em 12 categorias — codificações, cifras, compressão, hashing, extração, redes, formatação de código e muito mais
• Widget acoplável no IDA (Ctrl-Alt-C) — navegador de operações, construtor de receitas e painel de I/O tudo em uma única janela
• "Auto Bake" ao vivo — cada alteração de parâmetro recalcula instantaneamente toda a cadeia de receitas
• Integração direta com o IDA — extraia os bytes selecionados, capture a string sob o seu cursor (ASCII ou UTF-16LE), aplique a saída de volta no binário ou defina comentários; processe em lote um intervalo inteiro de endereços de strings e aplique os resultados de volta
• Importação/exportação de receitas — salve receitas como JSON e carregue-as novamente, incluindo receitas exportadas do próprio CyberChef
• Expressões de fórmula — encadeie operações em nível de byte em uma única etapa: FromHex+XOR(0x55)+ADD(3) ou FromBase64+NOT+ROL(3)
• Campos de argumento com crescimento automático — campos monoespaçados que se expandem para caber sua chave/IV/salt, com dicas de comprimento em bytes ao vivo e detecção do tamanho da chave AES
• Núcleo sem dependências — hex, Base64/32/85, XOR, gzip/zlib/lzma, SHA*, CRC, extratores de regex e mais de 100 outras operações usam apenas a biblioteca padrão do Python; AES/DES/RC4 disponíveis com pycryptodome (opcional)

Instalação

1. Copie ambos idachef_plugin.py e a pasta idachef/ para o seu diretório de plugins do IDA:

   SO	Caminho
   Windows	%APPDATA%\Hex-Rays\IDA Pro\plugins\
   macOS	~/Library/Application Support/Hex-Rays/IDA Pro/plugins/
   Linux	~/.idapro/plugins/

   plugins/
     idachef_plugin.py
     idachef/
       __init__.py
       core/
         __init__.py
         dish.py
         formula.py
         logger.py
         operation.py
         recipe.py
         utils.py
       operations/
         __init__.py
         arithmetic.py
         ciphers.py
         codeformat.py
         compression.py
         encoding.py
         extractors.py
         hashing.py
         language.py
         networking.py
         other.py
         publickey.py
         textutils.py
       ui/
         __init__.py
         chef_widget.py
         qt_compat.py
   

2. (Opcional) Para criptografia AES/DES/RC4: instale pycryptodome no Python do IDA:

   "<ida>/python3/python.exe" -m pip install pycryptodome
   

   Tudo o resto — Base64/32/85, hex, XOR, ROT13/47, gzip/zlib/bzip2/lzma, MD5/SHA*, CRC, HMAC, extratores — funciona apenas com a biblioteca padrão.

3. Reinicie o IDA (ou Edit → Plugins → IDAChef / Ctrl-Alt-C).

Utilização

Abertura

Edit → Plugins → IDAChef ou prima Ctrl-Alt-C.

Layout de três painéis

Todos os painéis são baseados em splitters e livremente redimensionáveis — arraste os divisores entre colunas, entre a lista de receitas e o seu editor de argumentos, e entre as secções Input / Output / Batch.

• Esquerda — Navegador de Operações: árvore categorizada e pesquisável. Faça duplo clique numa operação para a adicionar à sua receita. Escreva na caixa de pesquisa para filtrar por nome, categoria ou descrição.

• Centro — Receita: lista ordenada de operações. Clique num passo para editar os seus argumentos. Utilize os botões Up / Down / Remove / Clear para reorganizar ou reiniciar. Os argumentos são atualizados em tempo real à medida que escreve (com Auto Bake ativado). Save Recipe / Load Recipe exportam e importam a cadeia como JSON (também copiada para a área de transferência); Load Recipe aceita adicionalmente receitas exportadas do CyberChef, mapeando os seus argumentos posicionais para os esquemas do IDAChef.

• Direita — Painel de I/O:

  • Input: cole texto diretamente, ou obtenha dados do IDA:
    • Get Selected Bytes — lê a seleção atual da Hex View / desassemblagem e apresenta-a como uma string hexadecimal
    • Get String @ Cursor — lê o literal de string na posição atual do cursor (strings ASCII e UTF-16LE são ambas detetadas)
    • From Clipboard — cola o conteúdo da área de transferência
  • Output: apresenta o resultado final processado no formato escolhido (Auto hex/text, Hex, UTF-8, Latin-1, Base64, Decimal Bytes, C Array, Python bytes, UTF-16LE Text)
  • Actions:
    • Copy Output para a área de transferência
    • Output → Input — reutiliza o resultado como novo input
    • Patch Bytes at Address — escreve os bytes de output no endereço especificado na base de dados do IDA
    • Set Comment at Address — define o texto de output como comentário no endereço especificado

Análise do input

O texto de input é tratado como texto simples (com suporte a escapes \xHH). Utilize passos explícitos na receita — From Hex, From Base64, From Binary, etc. — para descodificar o seu input antes de processamento adicional.

Registo na janela de output do IDA

Cada processamento imprime três linhas na janela de output do IDA:

Input: 5e6877497d7d71526c776d536c707c6c
Step 1 'From Hex' -> ^hwI}}qRlwmSlp|l
Step 2 'XOR' -> KX...
Result: KX...

• Input: o texto de entrada bruto (ou string de bytes decodificada do IDA)
• Step N 'Operation': a saída após cada etapa da receita
• Result: a saída final

Todo o conteúdo de bytes é impresso como texto decodificado (UTF-8 com fallback para Latin-1), truncado em 300 caracteres. Os erros incluem o índice da etapa e a mensagem de exceção.

Expressões de fórmula

A operação Formula (compound) permite encadear múltiplas operações de nível de byte em uma única etapa da receita usando uma sintaxe de expressão:

FromHex+XOR(0x55)+ADD(3)      — decode hex, XOR with 0x55, add 3 (mod 256)
FromBase64+NOT+ROL(3)         — decode base64, bitwise NOT, rotate left 3
XOR(0xaa)+SHR(2)+AND(0x7f)   — XOR then shift-right then mask

Operações byte-level suportadas: XOR, ADD, SUB, AND, OR, NOT, ROL, ROR, SHL, SHR, MUL, MOD