-
-
[原创]ret-sync插件：windbg/ollydbg+ida逆向调试神器
-
发表于: 2019-7-15 23:04
-
1.首先在IDA中加载待调试的二进制，保存(Ctrl+W)生成idb文件。本文用Crackmes.cf中Level1的#ParadoxX做示例，加载AC1D.Materie.exe并保存，最终生成AC1D.Materie.idb，如图：
ida有不少主流调试器的扩展插件，如windbg/gdb等，可以在静态分析的基础上动态调试二进制文件。可是众多调试器扩展中没有兼顾ollydbg，难免觉得是一项缺憾。
最近在github上发现一个插件：ret-sync，不仅弥补了ida对ollydbg支持的空白，还额外支持x64dbg/lldb等调试器：
1.虽然作者建议使用vs2017生成插件，但由于vs2017的bug，建议换用其他低版本编译器。笔者发现vs2013亦能生成插件。
2.编译生成的windbg扩展，需要区分x86/x64版本。x86的dll放到C:\Program Files (x86)\Windows Kits\10\Debuggers\x86\winext目录下；相应的，x64的dll放到C:\Program Files (x86)\Windows Kits\10\Debuggers\x64\winext目录下。编译生成的ollydbg1扩展，放到ollydbg1菜单栏Options-Appearance-"UDD path"所指定的路径：
1.虽然作者建议使用vs2017生成插件，但由于vs2017的bug，建议换用其他低版本编译器。笔者发现vs2013亦能生成插件。
2.编译生成的windbg扩展，需要区分x86/x64版本。x86的dll放到C:\Program Files (x86)\Windows Kits\10\Debuggers\x86\winext目录下；相应的，x64的dll放到C:\Program Files (x86)\Windows Kits\10\Debuggers\x64\winext目录下。编译生成的ollydbg1扩展，放到ollydbg1菜单栏Options-Appearance-"UDD path"所指定的路径：
3.笔者使用的是IDA Pro 7.0 。由于IDA7.0内置了python2.7且支持x64位系统，因此，需要额外安装python2.7 x86-64版本，否则遇到诸如<总结IDA遇到的python问题>一文中提到的各种奇葩问题。
4.将ext_ida目录下的所有文件拷贝到IDA的plugins目录中：
3.笔者使用的是IDA Pro 7.0 。由于IDA7.0内置了python2.7且支持x64位系统，因此，需要额外安装python2.7 x86-64版本，否则遇到诸如<总结IDA遇到的python问题>一文中提到的各种奇葩问题。
4.将ext_ida目录下的所有文件拷贝到IDA的plugins目录中：
使用插件
1.首先在IDA中加载待调试的二进制，保存(Ctrl+W)生成idb文件。本文用Crackmes.cf中Level1的#ParadoxX做示例，加载AC1D.Materie.exe并保存，最终生成AC1D.Materie.idb，如图：
2.IDA中启动rer-sync插件,Edit-Plugins-"ret sync"：
此时会弹出ret sync插件的窗口，如果前面的环境搭建正确，IDA的Output窗口会输出：
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
我试试 |
|
|
可以啊 6.x要自己装python模块 |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
