**重要 - 路径解析：** 该技能可以安装在不同的位置。在执行任何命令之前，请根据加载此 SKILL.md 文件的位置确定技能目录，并在下面的所有命令中使用该路径。将 `$SKILL_DIR` 替换为实际发现的路径。常见安装路径： * 项目特定：`/.claude/skills/ida-domain-scripting` * 手动全局：`~/.claude/skills/ida-domain-scripting` # IDA 域脚本通用二进制分析技能。我将为您请求的任何逆向工程任务编写自定义 IDAPython 代码，并通过通用执行器执行它。 **关键工作流程 - 按顺序执行以下步骤：** 1. **在 /tmp 中创建一个带有时间戳的工作目录** \- 切勿将脚本写入技能目录；始终创建一个以微秒为单位的工作目录 `/tmp/ida-domain-YYYYMMDD_HHMMSS_ffffff-` 以确保唯一性（例如，`/tmp/ida-domain-20260109_143052_847291-list-functions`）。使用：`datetime.now() 生成时间戳。 strftime('%Y%m%d_%H%M%S_%f')`.这将始终被引用为 2. **检查 API_REFERENCE.md 是否存在** \- 始终检查 $SKILL_DIR/API_REFERENCE.md 是否存在。如果没有，通知用户运行引导程序。 3. **从技能目录执行** \- 始终运行：`cd $SKILL_DIR && uv run python run.py /script.py -f ` 4. **保存前询问** \- 修改数据库的脚本在使用 `--save` 之前需要明确的用户确认 ## 它是如何工作的 1.你描述你想要分析/提取的内容 2.我在`/script.py`中编写自定义IDA域API代码（带有微秒时间戳以用于并行执行） 3.我通过以下方式执行它：`cd $SKILL_DIR && uv run python run.py /script.py -f ` 4.结果实时显示 5. 操作系统从 /tmp 自动清理脚本文件 ## 设置（第一次） cd $SKILL_DIR && uv 运行 python setup.py 这将从 GitHub 克隆 ida-domain 并安装依赖项。只需要一次。 **使用特定版本：** uv run python setup.py --ref v0.1.0 # 具体版本 uv run python setup.py --ref main # 前沿要求： * uv包管理器 * git * IDA专业版9.1+ * IDADIR环境变量指向IDA安装 ## 执行模式 **第1步：将分析脚本写入** # <工作目录>/script.py 对于 db.functions 中的函数：名称 = db.functions.get_name(func) print(f"{名称}: 0x{func.start_ea:08X}") **第2步：从技能目录执行** cd $SKILL_DIR && uv run python run.py /script.py -f /path/to/binary **第 3 步：查看结果** 脚本使用“Database.open()”样板自动包装。 `db` 变量可用于访问所有实体。 ## 常见模式 ### 列出所有函数 # <工作目录>/script.py 对于 db.functions 中的函数：名称 = db.functions.get_name(func) 大小 = func.end_ea - func.start_ea print(f"{name}: 0x{func.start_ea:08X} - 0x{func.end_ea:08X} ({size} 字节)") ### 按名称查找函数 # <工作目录>/script.py func = db.functions.get_function_by_name("main") 如果函数： print(f"在 0x{func.start_ea:08X} 处找到主函数") # 获取来电者调用者 = db.functions.get_callers(func) print(f"由 {len(callers)} 函数调用:") 对于来电者中的来电者：打印（f“ - {db.functions.get_name（调用者）}”）其他： print("主程序未找到") ### 搜索字符串 # <工作目录>/script.py 进口再 # 查找所有字符串对于 db.strings 中的 s： print(f"0x{s.address:08X}: {s}") # 查找网址 url_pattern = re.compile(r"https?://[\w./]+", re.IGNORECASE) 对于 db.strings 中的 s：尝试：内容 = str(s) 如果 url_pattern.search(内容): print(f"找到的网址：{内容}") 除外：通过 ### 分析交叉引用 # <工作目录>/script.py # 获取外部参照地址目标=0x00401000 print(f"引用 0x{target:08X}:") 对于 db.xrefs.to_ea(target) 中的外部参照： print(f" 来自 0x{xref.from_ea:08X} (类型：{xref.type.name})") # 从地址获取外部参照 print(f"引用来自 0x{target:08X}:") 对于 db.xrefs.from_ea(target) 中的外部参照： print(f" 至 0x{xref.to_ea:08X} (类型：{xref.type.name})") ### 反编译函数 # <工作目录>/script.py func = db.functions.get_function_by_name("main") 如果函数：尝试：行= db.functions.get_pseudocode(func) print("\n".join(行)) 除了运行时错误为 e： print(f"反编译失败：{e}") ### 分析函数复杂性 # <工作目录>/script.py 复杂函数 = [] 对于 db.functions 中的函数：流程图 = db.functions.get_flowchart(func) 如果流程图： block_count = len(流程图) edge_count = sum(b.count_successors() 对于流程图中的 b) 圈数 = 边数 - 块数 + 2 如果圈 > 10：名称 = db.functions.get_name(func) complex_funcs.append((名称, func.start_ea, 圈)) Complex_funcs.sort（键=lambda x：x [2]，reverse=True） print("最复杂的函数：") 对于complex_funcs[:10]中的名称、地址、抄送： print(f" {name}: 复杂度={cc} at 0x{addr:08X}") ### 搜索字节模式 # <工作目录>/script.py # 搜索 NOP 雪橇模式 = b"\x90\x90\x90\x90" 结果= db.bytes.find_binary_sequence（模式）对于结果中的地址： print(f"在 0x{addr:08X} 找到 NOP 雪橇") # 搜索 x64 函数序言序言 = b"\x55\x48\x89\xE5" # 推送 rbp;移动 rbp, rsp 对于 db.bytes.find_binary_sequence（序言）中的地址： print(f"序言位于 0x{addr:08X}") ### 导出为 JSON # <工作目录>/script.py 导入 json 从 pathlib 导入路径函数=[] 对于 db.functions 中的函数：名称 = db.functions.get_name(func) 函数.append({ “姓名”：姓名， "开始": f"0x{func.start_ea:08X}", "结束": f"0x{func.end_ea:08X}", “大小”：func.end_ea - func.start_ea， }) 输出= {“模块”：db.module，“功能”：功能} 路径（“/tmp/functions.json”）.write_text（json.dumps（输出，缩进= 2）） print(f"已将 {len(functions)} 函数导出到 /tmp/functions.json") ## 内联执行（简单任务）对于快速的一次性任务，您可以内联执行代码而无需创建文件： # 快速函数计数 cd $SKILL_DIR && uv run python run.py -c "print(f'函数: {len(db.functions)}')" -f 二进制 # 获取二进制信息 cd $SKILL_DIR && uv run python run.py -c "print(f'{db.module}: {db.architecture} {db.bitness}-bit')" -f 二进制 **何时使用内联与文件：** * **内联** ：快速一次性任务（计算函数、获取二进制信息、检查符号是否存在） * **文件**：复杂的分析、多步骤任务、用户可能想要重新运行的任何内容 ## 高级用法有关完整的 IDA Domain API 文档，请参阅 [API_REFERENCE.md]()： * 数据库属性和元数据 * 函数枚举与分析 * 字符串检测和搜索 * 交叉引用查询 * 字节模式匹配 * 控制流分析 * 反编译（Hex-Rays） * 类型信息 * 评论和名字 ## 提示 * **默认为只读** \- 仅当修改应该持续时才使用 `--save` （并首先询问用户！） * **超时** \- 默认 30 分钟；使用“--timeout 0”进行长时间运行的分析 * **无换行模式** \- 当您的脚本已经具有“Database.open()”时使用“--no-wrap” * **错误处理** \- 始终使用 try- except 进行反编译和字符串操作 * **检查 None** \- 像 `get_function_by_name()` 这样的函数如果没有找到则返回 None ## 故障排除 **遇到错误时：** 首先通过在“$SKILL_DIR/ida-domain/ida_domain/”中搜索方法签名来检查 ida-domain 源代码。 API 可能与记录或预期的有所不同。 **未找到虚拟环境：** cd $SKILL_DIR && uv 运行 python setup.py **IDA SDK 加载失败/IDADIR 错误：** 导出 IDADIR=/路径/到/ida **脚本超时：** cd $SKILL_DIR && uv run python run.py --timeout 3600 ... # 1 小时 cd $SKILL_DIR && uv run python run.py --timeout 0 ... # 无超时 **AttributeError：“Xrefs”没有属性“get_xrefs_to”：**使用“db.xrefs.to_ea(addr)”而不是“db.xrefs.get_xrefs_to(addr)” ** func_t 对象上的 AttributeError：** 调用 `db.functions` 上的方法，而不是 func 对象上的方法： # 错误：func.get_callers() # 右：db.functions.get_callers(func) **读取字符串时出现 UnicodeDecodeError:** 对于 db.strings 中的 s：尝试：内容 = str(s) 除外： continue # 跳过有问题的字符串 ## 用法示例用户：“这个二进制文件中有多少个函数？” 克劳德：我来数一下功能。让我分析一下二进制文件... [写入：/script.py] [运行： cd $SKILL_DIR && uv run python run.py /script.py -f 二进制文件] [输出：功能：250] 该二进制文件包含 250 个函数。用户：“查找所有调用 malloc 的函数” Claude：我会找到所有 malloc 的调用者...... [写入：/script.py] [运行： cd $SKILL_DIR && uv run python run.py /script.py -f 二进制文件] [输出：malloc 由 15 个函数调用：sub_401000、sub_402000、...] 找到15个调用malloc的函数： - sub_401000 位于 0x00401000 - sub_402000 位于 0x00402000 ... 用户：“反编译main函数并保存” 克劳德：我将反编译 main 并保存输出...... [写入：/script.py] [运行： cd $SKILL_DIR && uv run python run.py /script.py -f 二进制文件] [输出：保存到/tmp/main.c] 完成！反编译后的代码保存到/tmp/main.c

Ida 域脚本

包含技能