[原创] MacOS ARM 安装 keypatch For IDA Pro 9.0 填坑-逆向工程-看雪安全社区

[原创] MacOS ARM 安装 keypatch For IDA Pro 9.0 填坑

发表于: 2025-4-23 14:27 8024

[原创] MacOS ARM 安装 keypatch For IDA Pro 9.0 填坑

Ade0408

2025-4-23 14:27

8024

## 正常流程
- 下载最新版本的`keypatch.py`(<a href="elink@2b0K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6C8k6i4W2K6N6r3!0F1k6g2)9J5k6r3g2F1k6$3W2F1k6g2)9J5c8X3E0W2P5i4m8S2N6r3y4Z5i4K6u0r3j5X3I4G2j5W2)9J5c8X3f1^5y4$3j5H3k6U0V1H3k6e0p5@1z5h3q4S2x3r3b7I4y4U0R3#2x3h3x3&6k6o6V1I4z5h3c8T1j5e0t1I4y4r3j5J5x3K6W2W2y4$3y4Q4x3V1k6C8k6i4W2H3j5i4c8U0K9q4)9J5k6i4m8&6">代码地址</a>), 放到`/Applications/IDA Professional 9.0.app/Contents/MacOS/plugins/` 目录下
- 安装`keystone`:
    ```bash
    pip3 install keystone-engine
    ```
- 如果是`python3.11`以下的, 需要再执行命令: 
    ```bash
    pip3 install six
    ```
- 到此, 如果你是intel版本的MacOS系统, 打开`IDA Pro 9.0`基本就可以正常使用了

但是如果你是`ARM`版本的MacOS系统, 打开`IDA Pro 9.0`, 大概率会看到以下报错:
```bash
/Applications/IDA Professional 9.0.app/Contents/MacOS/plugins/keypatch.py: ERROR: fail to load the dynamic library.
Traceback (most recent call last):
  File "/Applications/IDA Professional 9.0.app/Contents/MacOS/python/ida_idaapi.py", line 574, in IDAPython_ExecScript
    exec(code, g)
    ~~~~^^^^^^^^^
  File "/Applications/IDA Professional 9.0.app/Contents/MacOS/plugins/keypatch.py", line 53, in <module>
    from keystone import *
  File "/opt/homebrew/lib/python3.13/site-packages/keystone/__init__.py", line 4, in <module>
    from .keystone import Ks, ks_version, ks_arch_supported, version_bind, debug, KsError, __version__
  File "/opt/homebrew/lib/python3.13/site-packages/keystone/keystone.py", line 74, in <module>
    raise ImportError("ERROR: fail to load the dynamic library.")
ImportError: ERROR: fail to load the dynamic library.
```

## 解决报错
导致这个报错有两个可能是两个原因:
- `keystone`的安装目录下没有`libkeystone.dylib`以及`libkeystone.0.dylib`(主要是`libkeystone.0.dylib`, `libkeystone.dylib`只是其快链)
- `libkeystone.dylib`的架构不是`ARM64`的

如果你没办法判断自己的`libkeystone.dylib`是否是`Arm64`的架构, 可以使用`file`命令进行判断:
```bash
# 默认的libkeystone.dylib
 ➜ ~ file /opt/homebrew/lib/python3.13/site-packages/keystone/libkeystone.dylib
/opt/homebrew/lib/python3.13/site-packages/keystone/libkeystone.dylib: Mach-O 64-bit dynamically linked shared library x86_64

# 自己编译后
 ➜ ~ file /Users/studio/Downloads/keystone/build/llvm/lib/libkeystone.dylib
/Users/studio/Downloads/keystone/build/llvm/lib/libkeystone.0.dylib: Mach-O 64-bit dynamically linked shared library arm64
```

这两个问题解决方法都一样, 需要我们自己去编译一个`libkeystone.0.dylib`, 然后复制到`keystone`的安装目录.下面开始介绍如何自己编译:

### 下载
```bash
# 下载项目
git clone https://github.com/keystone-engine/keystone.git
cd keystone

# 创建build文件夹, 后续编译后的内容都存放在这
mkdir build
cd build
```
### 修改配置
- 编译前, 我们需要对原来的配置进行修改, 打开`make-common.sh`文件, 这样修改后面我们编译出来就默认是`arm64`架构:
```bash
# 第4行, 修改之前
ARCH=''

# 修改之后
ARCH='arm64'
```

- 打开`make-share.sh`, 把python的路径改为自己电脑上的路径:
```bash
# 修改前:
cmake -DBUILD_LIBS_ONLY=$BUILD_LIBS_ONLY -DLLVM_BUILD_32_BITS="$LLVM_BUILD_32_BITS" -DCMAKE_OSX_ARCHITECTURES="$ARCH" -DCMAKE_BUILD_TYPE=$BUILDTYPE -DBUILD_SHARED_LIBS=ON -DLLVM_TARGETS_TO_BUILD="all" -G "Unix Makefiles" ..

# 修改后:
cmake -DBUILD_LIBS_ONLY=$BUILD_LIBS_ONLY -DLLVM_BUILD_32_BITS="$LLVM_BUILD_32_BITS" -DCMAKE_OSX_ARCHITECTURES="$ARCH" -DCMAKE_BUILD_TYPE=$BUILDTYPE -DBUILD_SHARED_LIBS=ON -DLLVM_TARGETS_TO_BUILD="all" -DPYTHON_LIBRARY="/opt/homebrew/opt/python@3.12/Frameworks/Python.framework/Versions/3.12/lib/libpython3.12.dylib" -DPYTHON_EXECUTABLE="/opt/homebrew/opt/python@3.12/Frameworks/Python.framework/Versions/3.12/bin/python3.12" -G "Unix Makefiles" ..
```

- 在`keystone`目录下搜索名为`CMakeLists.txt`的所有文件, 都需要按照以下修改:
```bash
# 修改cmake最低支持版本
cmake_minimum_required(VERSION 2.8.7)

# 修改后:
cmake_minimum_required(VERSION 3.5)

# 注释或删除掉以下代码, CMP0051已经废弃
if (POLICY CMP0051)
  # CMake 3.1 and higher include generator expressions of the form
  # $<TARGETLIB:obj> in the SOURCES property.  These need to be
  # stripped everywhere that access the SOURCES property, so we just
  # defer to the OLD behavior of not including generator expressions
  # in the output for now.
  cmake_policy(SET CMP0051 OLD)
endif()
```

### 开始编译
- 在`build`目录下, 执行以下命令:
```bash
../make-share.sh
```
如果看到以下窗口, 就是编译成功:
 ![](upload/attach/202504/1012273_H5XKP39N3M9RAUH.webp)

### 可能遇到的报错
- `make-share.sh`中python路径设置错误, 就会报这个错误, 需要自己检查一下python的路径:
```bash
CMake Error at llvm/CMakeLists.txt:358 (message):
Unexpected failure executing llvm-build:
```

### 使用编译好的动态库
- 编译好的`libkeystone.dylib`以及`libkeystone.0.dylib`动态库存放在`keystone/build/llvm/lib`目录下, 可以直接拷贝到前面`IDA Pro 9.0`中报错的路径, 我这里是`/opt/homebrew/lib/python3.13/site-packages/keystone/`, 只需要拷贝到该路径下即可!

> 参考了以下文章:
<mark class="encrypted">4e8K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6T1L8s2g2W2i4K6u0V1k6r3g2$3K9h3I4Q4x3V1k6S2k6Y4c8W2M7W2)9J5k6r3W2V1j5g2)9J5k6s2m8J5L8H3`.`.</mark>

登录后可查看完整内容

冰与火的战歌：Windows内核攻防实战高级班！从零到实战，融合AI与Windows内核攻防全技术栈，打造具备自动化能力的内核开发高手。

最后于 2025-4-23 14:35 被Ade0408编辑，原因：重复标题

#其他内容

收藏・12

点赞・15

打赏

最新回复 (10)
mb_tciajwop 雪币： 190 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 11 粉丝 0 关注私信	mb_tciajwop 2 楼 keystone/bindings/python 下运行pip install . 即可，不需要手动copy（ 2025-6-27 13:37 0
wx_　K 雪币： 170 活跃值： (95) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 9 粉丝 0 关注私信	wx_　K 3 楼感谢大佬，按照帖子步骤，m4成功编译运行 2025-7-16 00:22 0
阿钟wilsion 雪币： 415 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 14 粉丝 0 关注私信	阿钟wilsion 4 楼 youxianchengdewenjianme 2025-7-16 16:31 0
阿钟wilsion 雪币： 415 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 14 粉丝 0 关注私信	阿钟wilsion 5 楼 Mac M1Pro 14.7根据教程完成编译，并成功运行Keypatch，步骤大体一致。但是我这llvm/CMakeLists.txt Python版本也需删除或者注释掉，Python环境是3.9.6. 2025-7-16 18:03 0
hacker521 雪币： 3017 活跃值： (5736) 能力值： ( LV2，RANK：10 ) 在线值：发帖 6 回帖 225 粉丝 30 关注私信	hacker521 6 楼 mb_tciajwop keystone/bindings/python 下运行pip install . 即可，不需要手动copy（依然不行！~ 最后于 2025-7-29 18:19 被hacker521编辑，原因： 2025-7-29 15:34 0
暮年之鼓雪币： 5 活跃值： (161) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 3 粉丝 0 关注私信	暮年之鼓 7 楼不错。这篇文章整个复制以后，发给cline + claude sonnet-4 直接搞定，总花费1.2刀乐 2025-8-15 13:39 0
swkl 雪币： 31 活跃值： (1245) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 38 粉丝 0 关注私信	swkl 8 楼新版本 CMake 已经废弃 FindPythonInterp.cmake 模块，所以需要降级 CMake 2025-9-15 17:11 0
Noguess9 雪币： 17 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 30 粉丝 0 关注私信	Noguess9 9 楼牛逼谢谢大佬！！！ 2025-9-17 16:04 0
JiangNight 雪币： 20 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 5 粉丝 0 关注私信	JiangNight 10 楼牛逼感谢大佬 2025-11-28 13:17 0
s1nec-1o 雪币： 1905 活跃值： (3799) 能力值： ( LV7，RANK：110 ) 在线值：发帖 5 回帖 67 粉丝 33 关注私信	s1nec-1o 2 11 楼最新的dylib可以直接通过macOS的brew install keystone直接下载之需要把符号链接拷贝一份放到对应package目录下即可 2026-8-31 16:57 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

Ade0408

发帖

回帖

RANK

关注

私信

他的文章

[原创] MacOS ARM 安装 keypatch For IDA Pro 9.0 填坑 8024

关于我们

联系我们

企业服务

看雪公众号

最新回复 (10)
mb_tciajwop 雪币： 190 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 11 粉丝 0 关注私信	mb_tciajwop 2 楼 keystone/bindings/python 下运行pip install . 即可，不需要手动copy（ 2025-6-27 13:37 0
wx_　K 雪币： 170 活跃值： (95) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 9 粉丝 0 关注私信	wx_　K 3 楼感谢大佬，按照帖子步骤，m4成功编译运行 2025-7-16 00:22 0
阿钟wilsion 雪币： 415 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 14 粉丝 0 关注私信	阿钟wilsion 4 楼 youxianchengdewenjianme 2025-7-16 16:31 0
阿钟wilsion 雪币： 415 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 14 粉丝 0 关注私信	阿钟wilsion 5 楼 Mac M1Pro 14.7根据教程完成编译，并成功运行Keypatch，步骤大体一致。但是我这llvm/CMakeLists.txt Python版本也需删除或者注释掉，Python环境是3.9.6. 2025-7-16 18:03 0
hacker521 雪币： 3017 活跃值： (5736) 能力值： ( LV2，RANK：10 ) 在线值：发帖 6 回帖 225 粉丝 30 关注私信	hacker521 6 楼 mb_tciajwop keystone/bindings/python 下运行pip install . 即可，不需要手动copy（依然不行！~ 最后于 2025-7-29 18:19 被hacker521编辑，原因： 2025-7-29 15:34 0
暮年之鼓雪币： 5 活跃值： (161) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 3 粉丝 0 关注私信	暮年之鼓 7 楼不错。这篇文章整个复制以后，发给cline + claude sonnet-4 直接搞定，总花费1.2刀乐 2025-8-15 13:39 0
swkl 雪币： 31 活跃值： (1245) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 38 粉丝 0 关注私信	swkl 8 楼新版本 CMake 已经废弃 FindPythonInterp.cmake 模块，所以需要降级 CMake 2025-9-15 17:11 0
Noguess9 雪币： 17 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 30 粉丝 0 关注私信	Noguess9 9 楼牛逼谢谢大佬！！！ 2025-9-17 16:04 0
JiangNight 雪币： 20 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 5 粉丝 0 关注私信	JiangNight 10 楼牛逼感谢大佬 2025-11-28 13:17 0
s1nec-1o 雪币： 1905 活跃值： (3799) 能力值： ( LV7，RANK：110 ) 在线值：发帖 5 回帖 67 粉丝 33 关注私信	s1nec-1o 2 11 楼最新的dylib可以直接通过macOS的brew install keystone直接下载之需要把符号链接拷贝一份放到对应package目录下即可 2026-8-31 16:57 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复