IDA还原so的伪c代码前的设置

**在使用IDA分析so的时候除了可以看到汇编代码以外还可以使用f5还原伪c代码，但是由于缺少JNIEnv结构，所以f5之后看到的代码是非常不舒服的，缺少的情况如下图：**
![1.png][1]
可以看到显示的很多都是偏移值。
目前我已知的一共有两个方法，一个是导入`jni.h`，一个则是直接使用`IDA`高版本自带的`ARM lib`。

第一种方法：导入`jni.h`文件
导入`jni.h`文件第一步首先得配置编译

Option-》Compiler 
    ComPiler选择Visual C++  
    Predefined macros的最后面加入__lint__  
    Include directories 填入NDK中包含jni.h的路径以及VC的include路径，之间使用”;”分隔。
![2.png][2]

jni.h文件中做以下三处代码修改：
    注释#include<stdarg.h> ；
    还有将#define JNIEXPORT_attribute_((visibility("default"))) 改成 #define JNIEXPORT；
    然后：File-》Load file-》parse C header file导入jni.h或者直接ctrl+f9选择文件导入。
    导入成功后把jni.h修改的地方，重新改回来，防止编译出错。
![3.png][3]

然后在`IDA“Structures”`按下键盘的`Insert`
![4.png][4]

可以看到`Type library` 是来自局部类型定义的。然后选中点ok即可。

之后再f5 转换后代码都变的清晰很多
![5.png][5]

第二种方法：`IDA`高版本自带的使用`arm lib`
在`View-》Open subviews-》Type-》Libraries `然后右键添加
![6.png][6]

添加`Android ARM`

在回`“Structures”`按下键盘的`Insert`
![7.png][7]

可以看到，这次的是来自`Android ARM`的。
![8.png][8]
最后效果也一样。

[1]: http://www.bugsafe.cn/usr/uploads/2017/12/3962228952.png
  [2]: http://www.bugsafe.cn/usr/uploads/2017/12/2054519997.png
  [3]: http://www.bugsafe.cn/usr/uploads/2017/12/556727115.png
  [4]: http://www.bugsafe.cn/usr/uploads/2017/12/3942873664.png
  [5]: http://www.bugsafe.cn/usr/uploads/2017/12/1656133001.png
  [6]: http://www.bugsafe.cn/usr/uploads/2017/12/431291423.png
  [7]: http://www.bugsafe.cn/usr/uploads/2017/12/1552232238.png
  [8]: http://www.bugsafe.cn/usr/uploads/2017/12/2416017219.png

Poacher's Blog

信息安全梦开始的地方,一个菜鸡#

IDA还原so的伪c代码前的设置

添加新评论

最新文章