IDAPython 能够访问所有的 IDC 函数，我们只介绍一些会马上用到，为之后的 IDAPython
脚本编写做基础。IDC 总共有 100 多个函数，有兴趣的可以研究研究。
以下的函数都是在编写脚本的时候经常用到的。
ScreenEA()
获取 IDA 调试窗口中，光标指向代码的地址。通过这个函数，我们就能够从一个已知 的点运行我们的脚本。
GetInputFileMD5()
返回 IDA 加载的二进制文件的 MD5 值，通过这个值能够判断一个文件的不同版本是否 有改变。
在 IDA 中二进制文件被分成了不同的段，这些段根据功能分成了不同的类型（ CODE, DATA, BSS, STACK, CONST,XTRN）。以下的函数用于分析获得各种段信息。
FirstSeg()
访问程序中的第一个段。
NextSeg()
访问下一个段，如果没有就返回 BADADDR。
SegByName( string SegmentName )
通过段名字返回段基址，举个例子，如果调用.text 作为参数，就会返回程序中代码段的开始 位置。
SegEnd( long Address )
通过段内的某个地址，获得段尾的地址。
SegStart( long Address )
通过段内的某个地址，获得段头的地址。
SegName( long Address )
通过段内的某个地址，获得段名。
Segments()
返回目标程序中的所有段的开始地址。
循环访问程序中的所有函数，确定函数的范围，是脚本编程中会经常碰到的问题。下面 的函数对于处理函数非常有用。
Functions( long StartAddress, long EndAddress )
返回一个列表，包含了从 StartAddress 到 EndAddress 之间的所有函数。
Chunks( long FunctionAddress )
返回一个列表，包含了函数片段。每个列表项都是一个元组（chunk start, chunk end）
LocByName( string FunctionName )
通过函数名返回函数的地址。
GetFuncOffset( long Address )
通过任意一个地址，然后得到这个地址所属的函数名，以及给定地址和函数的相对位移。 然后把这些信息组成字符串以"名字+位移"的形式返回。
GetFunctionName( long Address )
通过一个地址，返回这个地址所属的函数。
找出代码和数据的交叉引用，在分析文件的执行流程时很重要，尤其是当我们分析感兴趣的代码块的时候，盲目的查找无意义字符会让你有一种想死的冲动，这也是为什么 IDA 依然会成为逆向工程的王者的原因。IDAPython 提供了一大堆函数用于各种交叉引用。最常 用的就是下面几种。
CodeRefsTo( long Address, bool Flow )
返回一个列表，告诉我们 Address 处代码被什么地方引用了，Flow 告诉 IDAPython 是否要 跟踪这些代码。
CodeRefsFrom( long Address, bool Flow )
返回一个列表，告诉我们 Address 地址上的代码引用何处的代码。
DataRefsTo( long Address )
返回一个列表，告诉我们 Address 处数据被什么地方引用了。常用于跟踪全局变量。
DataRefsFrom( long Address )
返回一个列表，告诉我们 Address 地址上的代码引用何处的数据。
Debugger Hook 是 IDAPython 提供的另一个非常酷的功能，用于 Hook 住 IDA 内部的调 试器，同时处理各种调试事件。虽然 IDA 一般不用于调试任务，但是当需要动态调试的时 候，调用 IDA 内部调试器还是比外部的会方便很多。之后我们会用 debugger hooks 创建一 个代码覆盖率统计工具。使用 debugger hook 之前，先要睇你一个一个 hook 类然后在类里头 定义各种不同的处理函数。
class DbgHook(DBG_Hooks): # Event handler for when the process starts def dbg_process_start(self, pid, tid, ea, name, base, size) return # Event handler for process exit def dbg_process_exit(self, pid, tid, ea, code): return # Event handler for when a shared library gets loaded def dbg_library_load(self, pid, tid, ea, name, base, size): return # Breakpoint handler def dbg_bpt(self, tid, ea): return这个类包含了我们在创建调试脚本时，会经常用到的几个调试事件处理函数。安装 hook 的方式如下:
debugger = DbgHook() debugger.hook()现在运行调试器，hook 会捕捉所有的调试事件，这样就能非常精确的控制 IDA 调试器。 下面的函数在调试的时候非常有用:
AddBpt( long Address )
在指定的地点设置软件断点。
GetBptQty()
返回当前设置的断点数量。
GetRegValue( string Register )
通过寄存器名获得寄存器值。
SetRegValue( long Value, string Register )
设定寄存器的值。
联系客服
