IDA2Obj

IDA2Obj 是一个实现 SBI（静态二进制插桩） 的工具。

工作流程很简单：

• 直接从可执行 二进制文件 中转储 目标文件（COFF）。
• 链接 这些 目标文件 为一个新的二进制文件，与旧文件几乎相同。
• 在转储过程中，你可以 在任何位置插入任何数据/代码。
  • SBI 只是其中一种使用场景，对黑盒模糊测试尤其有用。

使用方法

0. 准备环境：

   • 在 idapython.cfg 中设置 AUTOIMPORT_COMPAT_IDA695 = YES，以支持旧版 IDA 6.x 风格的 API。
   • 安装依赖：pip install cough

1. 创建一个文件夹作为工作空间。

2. 将要进行模糊测试的目标二进制文件复制到工作空间中。

3. 将二进制文件加载到 IDA Pro 中，选择 加载资源 并 手动加载 以加载二进制文件中的 所有 段。

   

4. 等待自动分析完成。

5. 运行脚本 MagicIDA/main.py 转储目标文件。

   • 输出的目标文件将在 ${workspace}/${module}/objs/afl 中。
   • 如果在工作空间中创建了一个名为 TRACE_MODE 的空文件，则输出的目标文件将在 ${workspace}/${module}/objs/trace 中。
   • 另外，它还会在 ${workspace}/${module} 内生成3个文件：
     • exports_afl.def （用于链接）
     • exports_trace.def （用于链接）
     • hint.txt （用于补丁）

6. 运行脚本 utils/LibImports.py 生成库文件。

   • 输出的库文件将在 ${workspace}/${module}/libs 中，用于后续链接。

7. 打开终端，将目录切换到工作空间。

8. 使用 utils/link.bat 链接所有目标文件和库文件。

   • 例如：utils/link.bat GdiPlus dll afl /RELEASE
   • 它将在 ${workspace}/${module} 中生成新的二进制文件和对应的 pdb 文件。

9. 使用 utils/PatchPEHeader.py 对新构建的二进制文件进行补丁。

   • 例如：utils/PatchPEHeader.py GdiPlus/GdiPlus.afl.dll
   • 首次使用时，可能需要以管理员身份运行 utils/register_msdia_run_as_administrator.bat。

10. 运行并进行模糊测试。

更多细节

HITB 幻灯片 : https://github.com/jhftss/jhftss.github.io/blob/main/res/slides/HITB2021SIN%20-%20IDA2Obj%20-%20Mickey%20Jin.pdf

演示视频 : https://drive.google.com/file/d/1N3DXJCts5jG0Y5B92CrJOTIHedWyEQKr/view?usp=sharing