hrtng

HRTNG IDA插件

HRTNG IDA插件是来自不同来源的工具，想法和实验的集合，我发现有趣且在逆转工作中有用。

使用HRTNG IDA插件在Seculelist上的HRTNG IDA插件解剖鳍片模块的示例，以进行复杂恶意软件的反面指南

菜单中没有一个地方将插件的所有功能分组在一起。 HRTNG菜单项靠近逻辑上相关的标准IDA和十六进制射线分解器功能。消息，菜单项，弹出窗口和对话框属于此插件，上面标有“ [hrt] ”前缀。

该插件需要在IDA安装中存在十六进制射线透明剂。可以使用IDA SDK> = 7.3编译该插件，但使用旧版本测试不太测试。

特别感谢以下人民的出色插件被用作我工作的基础：

• 米兰·博哈斯克（Milan Bohacek
• Rolf Rolles和Takahiro Haruyama的Hexraysdeob
• karthik selvaraj k rypton插件
• Ali Rahbar，Ali Pezeshk和Elias Bachaalany GraphSlick插件
• Markus Gaasedelen AVX对十六进制X64 eNepolder的支持

插件的功能：

自动化

• 从灾难到伪代码视图中提取评论
• 自动重命名本地和全球变量，结构成员
• 自动枚举替代
• com助手

交互式伪代码转换

• 用户互动式重命名/重新启动帮助
• 协助结构成员或本地/全局变量的变化类型
• reinterpret_cast
• 崩溃选择
• “ Offsetof”转换器

解密

• 字符串/数据/常量解密
• 构建堆栈字符串（可选的解密）
• 构建阵列字符串（可选的解密）
• 质量弦解解

处理混淆的代码

• 反编译混淆的代码
• 扫描API名称哈希
• 坚定不移

代码识别

• 微型签名
• DEINLINE-检测分离的功能

结构协助

• 创建虚拟结构
• 协助结构中的分裂空白

虚拟/间接电话帮助

• 虚拟电话协助
• 跳到间接通话目的地
• 修复间接呼叫的堆栈指针

IDA UI改进

• 扩展的Xrefs
• 匹配支撑亮点
• 自动打开“功能”窗口内容同步

MISK功能

• 获得API帮助
• AVX举重器
• IDA数据库中的转储字符串，评论和名称
• 偏移餐桌创建
• 将功能转换为__userCall，检测到变质的寄存器
• 设置呼叫惯例更靠近go-lang

修补

• 补丁自定义区域带有nop
• 来自文件 /补丁的补丁
• 搜索和补丁
• 创建修补（DEC）文件

IDA插件开发人员帮助

• Microcode Explorer

建筑

• 克隆或下载加密++®库cmake源代码到hrtng/src/cryptopp-cmake文件夹。

 cd src
git clone https://github.com/abdes/cryptopp-cmake

• 复制IDA_DIR/plugins/hexrays_sdk/include/hexrays.hpp文件到IDA SDK的include目录。 （IDA 9.0不需要）
• 编辑hrtng/src/CMakeLists.txt文件，以设置使用的IDA SDK的正确路径和版本。稍后使用另一个SDK版本构建，您可以使用cmake -D ， ccmake或cmake-gui工具更改CMAKE的IDASDK_VER变量。
• 创建构建目录，进入它，配置和构建CMAKE项目

 mkdir bld && cd bld
cmake <path-to/hrtng/src>
cmake --build . --config Release -j 4 --clean-first

• 在第一次构建尝试中，会有编译错误看起来像：

 hrtng/src/deob.cpp:912:60: error: ‘class rangeset_t’ has no member named ‘getbag’
     fc.create("tmpfc2", ranges.getbag(), 0);//!!! add line into range.hpp, class rangeset_t: "const rangevec_t &getbag() const { return bag; }"

• 要解决该错误，请编辑IDA_SDK/include/range.hpp文件，将使用getbag函数实现的行添加到class rangeset_t声明中，如以下示例：

 class rangeset_t
{
  rangevec_t bag;
  ...
  public:
  const rangevec_t &getbag() const { return bag; }
  ...
};

• 复制构建的二进制文件中的IDA_DIR/plugins文件夹togeter togeter apilist.txt and literal.txt文件，来自hrtng/bin/plugins
• 利润

执照

该程序根据GPL V3许可证发布

作者

• sergey.belov在kaspersky.com上