pyidbutil

idbtool

أداة لاستخراج المعلومات من قواعد بيانات IDA. يعرف idbtool كيفية التعامل مع قواعد البيانات من جميع إصدارات IDA منذ V2.0 ، وملفات i64 و idb . يمكنك أيضًا استخدام idbtool لاستعادة المعلومات من قواعد البيانات غير المخلوطة.

يعمل idbtool دون تغيير مع IDA V7.0.

أسرع بكثير من تحميل ملف في IDA

مع IDBTOOL ، يمكنك البحث عن آلاف ملفات .IDB في ثوانٍ.

بتعبير أدق: على جهاز الكمبيوتر المحمول يستغرق:

• 1.5 ثانية لاستخراج 143 نصوص IDC من 119 ملفات IDB و I64.
• 3.8 ثانية لطباعة معلومات IDB لـ 441 ملفًا.
• 5.6 ثانية لاستخراج 281 التعدادات التي تحتوي على 4726 عضوًا من 35 ملفًا.
• 67.8 ثانية لاستخراج 5942 هياكل تحتوي على 33672 عضو من 265 ملف.

يستغرق تحميل ملف IDB حوالي 5 GBYTE في IDA ، حوالي 45 دقيقة. في حين أن IDB3.H لا يستغرق أي وقت على الإطلاق ، لا يزيد عن بضعة ميلي ثانية.

تحميل

يوجد نسختان من هذه الأداة:

واحد مكتوب في بيثون

• https://github.com/nlitsme/pyidbutil

واحد مكتوب في C ++

• https://github.com/nlitsme/idbutil

يحتوي كلا المستودعين على مكتبة يمكن استخدامها في ملفات القراءة .idb أو .i64 .

الاستخدام

الاستخدام:

 idbtool [options] [database file(s)]

• سوف يسرد -n أو --names جميع القيم المسماة في قاعدة البيانات.
• ستقوم -s أو --scripts جميع البرامج النصية المخزنة في قاعدة البيانات.
• سوف تسرد -u أو --structs جميع الهياكل المخزنة في قاعدة البيانات.
• -e أو --enums تسرد جميع التعدادات المخزنة في قاعدة البيانات.
• --imports بإدراج جميع الرموز المستوردة من قاعدة البيانات.
• -سوف تسرد --funcdirs مجلدات الوظائف المخزنة في قاعدة البيانات.
• -i أو --info ستقوم بطباعة بعض المعلومات العامة حول قاعدة البيانات.
• -d أو --pagedump شجرة Btree Btree Pagedump.
• --inc ، --dec جميع السجلات في ترتيب تصاعدي / تنازلي.
• -q أو --query عن سجلات محددة في قاعدة البيانات.
• -m أو --limit من عدد النتائج التي تم إرجاعها بواسطة -q .
• -id0 ، -id1 تفريغ قسم واحد فقط.
• --i64 ، --i32 أخبر IDBTOOL أن الملف المحدد من قاعدة بيانات 64 أو 32 بت.
• -ملفات جماعة --recover من قاعدة بيانات غير معبأة.
• --classify Classify استخدام العقدة في قاعدة البيانات
• --dump hexdump البيانات الثنائية الأصلية

استفسار

يجب تحديد الاستعلامات أخيرًا على سطر الأوامر.

مثال:

 idbtool [database file(s)]  --query  "Root Node;V"

سوف تسرد المصدر الثنائي لجميع قواعد البيانات المحددة في سطر الأوامر.

الاستعلام عبارة عن سلسلة مع التنسيق التالي:

• [== ، <= ،> = ، <،>] - علاقة اختيارية ، افتراضي: ==
• مفتاح العقدة الأساسية:
  • نقطة تليها القيمة الرقمية لل nodeid.
  • تجزئة تليها القيمة الرقمية لنظام النظام.
  • سؤال يتبعه اسم العقدة. -> عقدة n'ame
  • اسم العقدة. -> تم حل الاسم ، ويؤدي إلى عقدة "."
• علامة اختيارية (A لـ ALT ، S لـ Supval ، إلخ)
• قيمة فهرس اختيارية

مثال على الاستفسارات:

• Root Node;V -> سجل المطبوعات الذي يحتوي على الاسم الثنائي المصدر
• ?Root Node -> يطبع سجل الاسم الذي يشير إلى الجذر
• >Root Node -> يطبع السجلات العشرة الأولى التي تبدأ بمعرف عقدة الجذر.
• <Root Node -> يطبع السجلات 10 startNg مع السجلات قبل RootNode.
• .0xff000001;N -> يطبع إدخال اسم rootnode.
• #1;N -> يطبع إدخال اسم RootNode.

اذكر أعلى العقدة والسجل التالي في قاعدة البيانات بطريقتين مختلفتين ، الأول: بدءًا من السجل الأول أدناه ffc00000 ، وإدراج التالي. الثاني: بدءًا من السجل الأول بعد ffc00000 ، وإدراج السابق:

• --query "<#0xc00000" --limit 2 --inc -v
• --query ">#0xc00000" --limit 2 --dec -v

لاحظ أن هذا يجب أن يكون nodeid في سجل $ MAX NODE .

سرد السجلين الأخيرين:

• --limit 2 --dec -v

اذكر السجلين الأولين ، $ MAX LINK و $ MAX NODE Records:

• --limit 2 --inc -v

تفريغ قاعدة بيانات كاملة

توجد عدة طرق لطباعة جميع السجلات في قاعدة البيانات. قد يكون هذا مفيدًا إذا كنت ترغب في التحقيق في المزيد من الأجزاء الداخلية لـ IDA. ولكن يمكن أن تكون مفيدة أيضًا في استرداد البيانات من قواعد البيانات التالفة.

• --inc : يمكن استخدام-- --dec لتعداد جميع سجلات B-TREE في الاتجاه الأمامي ، أو الاتجاه المتخلف.
  • أضف -v للحصول على مفتاح/قيمة أجمل
• -يسير --id0 شجرة الصفحة ، بدلاً من شجرة التسجيل ، طباعة محتويات كل صفحة
• --pagedump خطيًا من خلال الملف ، سيكشف هذا أيضًا عن معلومات في الصفحات المحذوفة.

ملفات عارية

عندما تحطمت IDA أو جهاز الكمبيوتر الخاص بك أثناء العمل على تفكيك ، ولم تقم بحفظ قاعدة البيانات بعد ، فإنك تترك مع بعض الملفات مع امتدادات مثل .id0 ، .id1 ، .nam ، إلخ.

هذه الملفات هي قاعدة البيانات غير المعبأة ، أدعوها ملفات naked .

باستخدام خيارات --filetype و --i64 أو --i32 ، يمكنك فحص هذه الملفات naked بشكل فردي. أو استخدم خيار --recover لعرضها كقاعدة بيانات كاملة معًا. ستعرف idbtool تلقائيًا الملفات التي تنتمي معًا.

يمكن idbtool معرفة bitsize لقاعدة البيانات من ملف .id0 ، ولكن ليس (حتى الآن) من الآخرين.

مكتبة

يحتوي ملف idblib.py على مكتبة.

تودو

• إضافة خيار لسرد جميع التعليقات المخزنة في قاعدة البيانات
• إضافة خيار لسرد الأعلام للحصول على قائمة العناوين.

مؤلف

Willem Hengeveld [email protected]