解析間接API調用的IDA Pro腳本？

Question

通常，特別是在處理惡意軟件文件時，最終會出現所有API在給定緩衝區內的運行時動態解析的情況，這種方法會顯着減慢反轉過程（並且使反編譯器無用：（DWORD *）dword_123456（INT，UINT）（）），因爲分析人員必須運行惡意軟件，解析api並在每個api調用旁邊放置註釋。我找到了indirectcalls插件，但它似乎只適用於「標準」C++方法。是否有任何腳本或功能我不知道，即使在調試過程中也能修補可執行文件，以便用真實姓名調用API？

Answer 1

在IDA的安裝目錄的idc文件夾中有一個名爲renimp.idc的腳本，該腳本隨IDA一起提供。只需在運行時附加IDA（在惡意軟件分析的情況下，您最好使用遠程調試器），導航到由解包器創建的API地址表並選擇所有條目。然後運行該腳本。它會將所有指針重命名爲它指向的正確API，因此IDA的類型庫能夠從它的內部數據庫中再次爲它解析正確的typedef。