ret-sync 설치 및 windbg - IDA 연동 방법

https://github.com/bootleg/ret-sync

설치 및 상세 매뉴얼

- 구성

ext_windbg/sync: WinDbg extension source files, once built: sync.dll

ext_gdb/sync.py: GDB plugin

ext_lldb/sync.py: LLDB plugin

ext_olly: OllyDbg v2 plugin

ext_x64dbg: x64dbg plugin

ext_ida/SyncPlugin.py: IDA plugin, receive async events from broker

ext_ida/broker.py:

bind a socket on a random port

connect to dispatcher

just a socket->stdout event pump

ext_ida/dispatcher.py:

bind a TCP socket on localhost:9100 by default (see "Configuration file"),

receive events from a debugger

dispatch events to appropriate idb through their broker

- 전제 조건

IDA 6.9 이후 버전은 IDAPython이 PySide에서 PyQt5로 변경되었기 때문에 다음 과정이 필요없음.

IDA 6.6에서 6.9 사이 버전은 PySide가 내부에 포함되어있어 별도 설치 필요 x

6.6 버전 이전에는 PySide 설치가 필요함

다음을 참조 :

http://www.hex-rays.com/products/ida/support/download.shtml

for installation notes see: http://www.hexblog.com/?p=333

WinDbg 확장에 필요한 개발환경(비주얼 스튜디오 2013 이상)

argparse 가 포함된 Python (Python2.7 버전 이상에는 standard library에 포함됨)

-설치 및 사용 방법

1. https://github.com/bootleg/ret-sync 에서 전체 소스코드 및 스크립트 다운로드

2. 분석할 대상 파일을 열고 idb 저장

3. File -> Script File(Alt+F7)을 이용해 다운받은 ret-sync 디렉토리의 ext_ida에서 SyncPlugin.py을 로드

** IDA 6.9 이상의 버전은 PyQt5를 사용하므로 ext_ida 경로의 SyncPlugin.py를 로드하면 되지만, 6.9 이전 버전은 PySide를 사용하므로 ext_ida 폴더 내의 compat_pyside에 broker.py와 dispatcher.py를 복사하고 해당 폴더 안의 SyncPlugin.py를 로드하여야 함.