-
-
[原创]修复findcrypt2插件可能导致IDA6.8崩溃的问题
-
发表于: 2016-5-15 15:26
-
如果一个被分析的文件包含findcrypt2能识别出来的加密算法，经过findcrypt2识别标记位置后，在数据区地址上点击右键的话IDA会崩溃（代码区在地址上点击也会），报内部520号错误。
错误的原因可能是findcrypt2的标记位置函数mark_location使用的IDA的curloc接口，可能在IDA6.8已经改变了，findcrypt2这样使用已经不正确兼容，推断依据是
IDA的SDK中有声明curloc类是“Helper functions. Should not be called directly!”。
经过findcrypt2这样标记后会触发到IDA调用curloc_markdesc(, , 0, 0)，而curloc_markdesc内部就会调用qstpncpy(0,,0),qstpncpy内部当 a1 >= a1 + a3 时就报内部520错误。
if ( a1 >= a1 + a3 )
{
if ( under_debugger )
__debugbreak();
interr(520);
}
所以我们去掉对curloc的使用，改用set_name和set_cmt来实现标记位置。
源代码及二进制文件已上传，见附件，也编译了64位IDA用的版本。
20160516：
修复一处错误：加密算法名称中含有'/'时，将导致set_name调用失败。
findcrypt2_20160516.7z
findcrypt2_bin_20160516.7z
错误的原因可能是findcrypt2的标记位置函数mark_location使用的IDA的curloc接口，可能在IDA6.8已经改变了，findcrypt2这样使用已经不正确兼容，推断依据是
IDA的SDK中有声明curloc类是“Helper functions. Should not be called directly!”。
经过findcrypt2这样标记后会触发到IDA调用curloc_markdesc(, , 0, 0)，而curloc_markdesc内部就会调用qstpncpy(0,,0),qstpncpy内部当 a1 >= a1 + a3 时就报内部520错误。
if ( a1 >= a1 + a3 )
{
if ( under_debugger )
__debugbreak();
interr(520);
}
所以我们去掉对curloc的使用，改用set_name和set_cmt来实现标记位置。
源代码及二进制文件已上传，见附件，也编译了64位IDA用的版本。
20160516：
修复一处错误：加密算法名称中含有'/'时，将导致set_name调用失败。
findcrypt2_20160516.7z
findcrypt2_bin_20160516.7z
|
|
|---|---|
|
|
|
|
|
一直在用这个插件，还有一个问题，就是当ida动态调试android的so的时候，findcrypt会一直卡死，而且好像对Android 的so文件没有办法分析出来。不知道findcrypt2是否解决这个问题？
刚刚测试了一下，果然ida远程调试so的时候还是卡死。 
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
刚调试了一下，ida在动态调试的时候挂载在app_process ，然后分析的是这个地址空间，而这个地址空间非常大，导致一直在"Searching for crypto constants... 这个状态。具体怎么解决还没办法，那个兄弟知道求分享。
Debugger: attached to process /system/bin/app_process (pid=1433) 2A000000 ================= recognize_constants ============== BEE5A000 
|
|
|
|
|
|
|
|
|
|
|
|
|
