[原创]IDA Domain: 更Pythonic的 IDA API-Android安全-看雪安全社区

# ida_domain

翻 Hex-Ray 文档时发现了一个好玩的新功能, 差不多8月份发布的，还挺新

ida domain — “一个对初学者友好的开源 Domain API，简化了脚本编写和插件开发，使其以前所未有的方式变得易于上手——以 Pythonic 的方式。”

ida domain 兼容现有的 idc 和 idapython api

macOS环境配置
```
nano ~/.zshrc

//写入这行 (推荐使用ida9.2，可以直接看microCode)
export IDADIR="/Applications/IDA Professional 9.2.app/Contents/MacOS/"

^X, 然后一直回车

//验证
echo $IDADIR

然后pip install ida-domain

//开一个干净的虚拟环境
python -m venv ida-env
source ida-env/bin/activate
```
在test.py文件中写入
```
try:
    from ida_domain import Database
    print("✓ Installation successful!")
except ImportError as e:
    print(f"✗ Installation failed: {e}")

//python test.py
>>> ✓ Installation successful!
```
当然，也可以直接在 IDA 控制台或 IpyDA 里写

IDA Domain API 有以下常用对象实体

- Database - idb数据库操作
- Entries - 入口点管理与分析
- Segments - 内存段操作
- Functions - 函数分析与操作
- Flowchart - 控制流程图和基本模块操作
- Instructions - 指令级分析
- Operands - 操作数分析和操作
- Bytes - 原始字节操作和分析
- Strings - 字符串检测与分析
- Types - 类型信息和管理
- Heads - Address head management （）
- Hooks - 钩子/事件处理
- XRefs - 交叉引用分析
- Names - Symbol name management（符号名称管理）
- Comments - 注释管理
Signature Files - FLIRT 签名文件操作

比老的 idapython api 结构清晰多了，看着就舒服

ida 会把反编译器分析的信息都保存到 idb 中，在 ida_domain 中把 idb 作为入口对象来操作

```
import ida_domain
db = ida_domain.Database()
print(f'  Entry point: {hex(db.entries[0].address)}')
# db.functions.get_all() 通过db绑定的实例访问对象

>>>  Entry point: 0x1be23c
```

G 0x1be23c 正是JNI_OnLoad()

![](upload/attach/202511/991803_EAB4CSCBHC7GJZH.webp)

可以通过一个经典的获取函数对象的方法看到 api 设计思路上的差别

```
# ida_domain
func = db.functions.get_at(0x1DE5C4)
db.functions.get_disassembly(func)

# idapython
import idautils
func = idaapi.get_func(0x1DE5C4) # idapython
dism_addr = list(idautils.FuncItems(0x1DE5C4))
for line in dism_addr:
    print("0x%x %s" % (line,idc.generate_disasm_line(line, 0)))
```

如果使用 idapython 那你必须熟悉 idapython 的结构还有哪些模块里存了哪些函数，想使用什么功能得进源码里一顿找, ida_domain 把相关 api 通过实例对象组装到一起，极大地减小了学习成本。

之前访问 microCode 和 ctree 要通过遍历整个结构树来获取，借助ida_domain轻松获取, 非常nice
```
func = db.functions.get_at(0x1DE5C4)
db.functions.get_microcode(func) # 获取微码
db.functions.get_pseudocode(func) # 获取伪c
# 基于idapython的比较长，不写了

# 获取指定偏移处的微码
mcode = db.bytes.get_microcode_between(0x1DE608, 0x1DE60C)

>>>
['1. 0 mov    #0x138.8, t2.8          ; 1DE608 u=           d=t2.8',
 '1. 1 add    x0.8, t2.8, t2.8        ; 1DE608 u=x0.8,t2.8  d=t2.8',
 '1. 2 ldx    cs.2, t2.8, t1.8        ; 1DE608 u=t2.8,cs.2,(ALLMEM) d=t1.8',
 '1. 3 mov    t1.8, x19.8             ; 1DE608 u=t1.8       d=x19.8',
 '1. 4 goto   @2                      ; 1DE608 u=']
```

值得一提，在 idapython 中对ui事件，反编译事件等等的hook都分散在不同的模块中，在ida_domain 中聚合了大部分的事件hook

通过反编译钩子 DecompilerHooks 看一下 ida反编译的内部执行流程

```
import ida_hexrays,idaapi
from ida_domain import database, hooks
class MyDecompilerHooks(hooks.DecompilerHooks):
    def __init__(self):
        super().__init__()

def log(self,msg: str = ''):
        print(msg)

def glbopt(self,mba):
        self.log("glbopt")
        return super().glbopt(mba)

def prealloc(self, mba):
        self.log("prealloc")
        return super().prealloc(mba)

def locopt(self, mba):
        self.log("locopt")
        return super().locopt(mba)

def preoptimized(self,mba):
        self.log("preoptimized")
        return super().preoptimized(mba)

def microcode(self, mba_t) -> int:
        self.log("microcode")
        return super().microcode(mba_t)

def prolog(self,mba,fc,reachable_blocks,decomp_flags):
        self.log("prolog")
        return super().prolog(mba, fc, reachable_blocks, decomp_flags)

def stkpnts(self,mba,*sps):
        self.log("stkpnts")
        return super().stkpnts(mba, *sps)

def flowchart(self,fc,mba,reachable_blocks,decomp_flags):
        self.log("flowchart")
        return super().flowchart(fc, mba, reachable_blocks, decomp_flags)

decomp_hook = MyDecompilerHooks()
decomp_hook.hook()

//然后输入这句，强制ida重新分析这个函数
ida_hexrays.mark_cfunc_dirty(0x1DE5C4)

手动f5

>>> flowchart 
stkpnts 计算sp指针的移动
prolog 
microcode 微码已经生成
preoptimized 下面对应微码的不同成熟度
locopt
prealloc
prealloc
prealloc
prealloc
prealloc
prealloc
glbopt
...
之后生成ctree,伪c代码
```

可惜 ida_domain 暂时还没有能直接操作微码的api，不过可以和 idapython 的 API 结合着用，总之未来可期

[+] ida内部反编译流程，ctree和microcode
fd2K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6%4N6%4N6Q4x3X3g2W2L8r3q4K6N6r3W2U0i4K6u0W2j5$3!0Q4x3V1k6K6k6h3y4#2M7X3W2@1P5g2)9J5k6r3I4S2j5Y4y4Q4x3V1k6A6L8Y4c8J5L8$3c8#2j5%4c8A6L8$3&6Q4x3X3c8@1L8#2)9J5k6r3S2W2P5s2u0S2P5i4y4Q4x3X3c8V1k6h3y4G2L8i4m8A6L8r3q4@1K9h3!0F1i4K6u0V1K9h3&6@1k6i4u0F1j5h3I4K6

[+] ida_domain Hexray官方教程
dd9K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6A6k6r3q4Q4x3X3c8V1L8$3#2S2K9h3&6Q4x3X3g2V1L8$3y4K6i4K6u0W2K9r3g2^5i4K6u0V1M7X3q4&6M7#2)9J5k6h3y4G2L8g2)9J5c8X3N6W2N6s2c8A6L8X3N6Q4y4h3k6K6N6r3q4J5N6r3g2V1i4K6u0r3i4K6t1K6M7%4c8W2M7q4)9J5k6o6y4Q4x3X3c8$3k6i4u0A6k6Y4W2Q4x3X3c8A6L8Y4y4@1j5h3I4D9j5i4c8A6L8$3^5`.

[+] ida_domain github 源码
431K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6t1k6i4S2d9j5i4W2K6f1@1q4Q4x3V1k6A6k6r3q4Q4x3X3c8V1L8$3#2S2K9h3^5`.

回复或点赞可查看完整内容

冰与火的战歌：Windows内核攻防实战高级班！从零到实战，融合AI与Windows内核攻防全技术栈，打造具备自动化能力的内核开发高手。

最后于 2025-11-15 02:09 被温泉划水鱼编辑，原因：标签错误

#漏洞相关 #NDK分析 #工具脚本 #其他 #基础理论

最新回复 (24)
mb_ldbucrik 雪币： 6 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 707 粉丝 7 关注私信	mb_ldbucrik 2 楼感谢分享 2025-11-15 08:00 0
KanXue_NG 雪币： 678 能力值： ( LV1，RANK：0 ) 在线值：发帖 7 回帖 100 粉丝 66 关注私信	KanXue_NG 3 楼学习学习 2025-11-15 10:01 0
乐活雪币： 2941 活跃值： (3332) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 62 粉丝 1 关注私信	乐活 4 楼 xxxx 2025-11-15 15:02 0
MaYil 雪币： 9446 活跃值： (8072) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 485 粉丝 2 关注私信	MaYil 5 楼感谢分享 2025-11-15 15:41 0
wx_插曲雪币： 411 活跃值： (991) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 323 粉丝 24 关注私信	wx_插曲 6 楼大佬牛逼 2025-11-15 17:59 0
didiid 雪币： 2 活跃值： (2356) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 122 粉丝 0 关注私信	didiid 7 楼 666 2025-11-16 00:18 0
yangshuang 雪币： 50 能力值： ( LV1，RANK：0 ) 在线值：发帖 4 回帖 47 粉丝 3 关注私信	yangshuang 8 楼 111 2025-11-16 11:35 0
kingking888 雪币： 3235 活跃值： (6337) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 302 粉丝 6 关注私信	kingking888 9 楼 666 2025-11-16 20:49 0
周旋久雪币： 1485 活跃值： (2276) 能力值： ( LV3，RANK：30 ) 在线值：发帖 2 回帖 21 粉丝 66 关注私信	周旋久 10 楼 mark 2025-11-16 22:18 0
adnin 雪币： 3275 活跃值： (3665) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 88 粉丝 0 关注私信	adnin 11 楼 mark 2025-11-17 19:07 0
wx_Huber Barrientos 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 216 粉丝 1 关注私信	wx_Huber Barrientos 12 楼为你点赞！ 2025-11-18 03:40 0
huangjw 雪币： 6747 活跃值： (11957) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 514 粉丝 2 关注私信	huangjw 13 楼试试先 2025-11-19 09:35 0
龙飞雪雪币： 720 活跃值： (7137) 能力值： ( LV3，RANK：30 ) 在线值：发帖 1 回帖 267 粉丝 3 关注私信	龙飞雪 14 楼感谢分享 2025-11-19 19:43 0
昭玄大统雪币： 926 活跃值： (55) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 4 粉丝 0 关注私信	昭玄大统 15 楼 666 2025-11-24 21:35 0
带带弟弟吧雪币： 2 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 93 粉丝 5 关注私信	带带弟弟吧 16 楼 1 2025-12-25 01:10 0
蓝色水瓶雪币： 3065 活跃值： (3303) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 32 粉丝 0 关注私信	蓝色水瓶 17 楼 666 2025-12-29 21:39 0
Eknight 雪币： 24 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 3 粉丝 0 关注私信	Eknight 18 楼 666 2026-1-6 17:35 0
mb_uzmffdbw 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 100 粉丝 0 关注私信	mb_uzmffdbw 19 楼 6 2026-1-21 15:11 0
git_94730eaydwshawke-gif 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 44 粉丝 0 关注私信	git_94730eaydwshawke-gif 20 楼 666 2026-1-24 18:48 0
caxfan 雪币： 12792 活跃值： (7128) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 210 粉丝 0 关注私信	caxfan 21 楼看看 2026-1-30 10:19 0
wocaocou 雪币： 131 活跃值： (228) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 7 粉丝 0 关注私信	wocaocou 22 楼点赞 2026-2-6 22:19 0
Thehepta 雪币： 3601 活跃值： (7420) 能力值： ( LV11，RANK：185 ) 在线值：发帖 23 回帖 240 粉丝 283 关注私信	Thehepta 3 23 楼 1 2026-3-4 17:36 0
xxjj678 雪币： 4 能力值： ( LV1，RANK：0 ) 在线值：发帖 2 回帖 83 粉丝 1 关注私信	xxjj678 24 楼 666 2026-3-7 22:33 0
ldz666 雪币： 492 活跃值： (465) 能力值： ( LV3，RANK：20 ) 在线值：发帖 4 回帖 24 粉丝 10 关注私信	ldz666 25 楼 666 2026-7-2 14:39 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复