PPLorer

PPLorer 是一个 IDA 插件，用于将 PPL 调用解析为实际底层 PPL 函数。

安装

1. 将 ida-netnode 安装到 IDA 可以导入的位置
2. 克隆仓库，并将 ~/.idapro/plugins/pplorer.py 符号链接到克隆仓库中的 pplorer.py

用法

初步分析

1. 打开一个 IDB，并确保自动分析已完成
2. 从菜单选择 Edit -> Plugins -> PPLorer -> Analyse IDB
3. 完成！

持续使用

TL;DR 在合适的位置按 CTRL-SHIFT-X 或 右键 -> Jump to PAC XREFs，将打开一个选择窗口

从调用点跳转到 PPL 函数

1. 将光标放在指向 PPL 网关的分支指令上（带有注释——"has xref to PPL"）。
2. 按热键或激活菜单项
3. 匹配的 PPL 函数将弹出。

从 PPL 函数跳转到调用点

1. 将光标放在 PPL 函数的起始地址
2. 按热键或激活菜单项
3. 将打开一个可能的调用点列表

工作原理

PPL 有一个网关，来自内核的所有调用都会到达这里。在该网关之前，每个单独的调用都会将一个预定的寄存器（X15）设置为它想要调用的 PPL 函数的选择器。 控制权将转移到 PPL 调度器，该调度器会检查是否选择了有效的函数，然后转到 PPL 函数表并调用它。 我们找到调度器，提取 PPL 函数表的大小及其地址。 然后我们检测所有来自内核端的网关调用，并获取放入 X15 中的 PPL 选择器。 对于每个调用，我们从 PPL 表中匹配一个函数，对于 PPL 表中的每个函数，我们添加所有匹配的内核调用。

Meta

作者：Cellebrite Labs 的 Omer Porzecanski。
基于 Cellebrite Labs 的 Ouri Lipner 在 Cellebrite Labs 时编写的 pacXplorer。
针对 A12+ 的 OS X、iOS 15.X+ 上的 IDA 8 开发和测试

我想和你一起工作

点击这里（欢迎远程人才）