IDA Pro脚本解决间接API调用？

Question

通常，特别是在处理恶意软件文件时，您最终会遇到在运行时在给定缓冲区内动态解析所有api的情况，这种方法会大大减慢反向过程(并使反编译器变得无用：(DWORD *)dword_123456(INT，UINT)())，因为分析人员必须运行恶意软件，解析api，并在每个api调用旁边手动添加注释。我已经找到了间接调用插件，但它似乎只适用于“标准”的C++方法。有没有我不知道的脚本，或者功能，能够修补可执行文件，甚至在调试期间，以便用它们的真实名称调用API？

Answer 1

在IDA的安装目录的idc文件夹中，有一个名为renimp.idc的脚本，它是IDA附带的。只需在运行时附加IDA (在恶意软件分析的情况下，您可能更希望使用远程调试器)，导航到解包程序创建的API地址表并选择所有条目。然后运行上述脚本。它将重命名所有指向它所指向的正确API的指针，因此IDA的类型库能够再次从它的内部数据库中为它解析正确的typedefs。