Jag vet inte om många vet det här, men IDA använder något slags knep för att avgöra om ett segment är ett importsegment och hanterar det helt annorlunda.

IDA använder ett fåtal segment egenskaper för att behandla ett segment som ett import segment. till exempel genom att namnge ett segment .idata eller ställa in segmentets klass till XTRN kommer det omedelbart att bli ett importsegment. sådana segment kommer inte att visa de vanliga kod- / dataförteckningarna, funktionsdefinitionerna och de flesta andra saker vi är vana vid i kodvyn.

Mer specifikt, lägga till kod till dessa segment kommer att döljas i IDA, vilket kommer att vägra att visa någon montering i dessa segment. Ett trevligt Anti-IDA-trick skulle jag säga :)

Istället visar de bara namndefinitioner, förskjutningar och kommentarer. När en förskjutning tilldelats ett namn på ett API som lagras i IDA: s databas kommer IDA få API: s prototyp och annan info, tilldela typdefinition och kommentarer.

IIRC Dessa API: er kommer också att visas i importfönstret men jag är inte säker på vad som exakt utlöser detta. det kan också bero på IDA-versioner och andra importrelaterade PE-egenskaper.

EDIT
Det har gått mer än tre år och jag kunde självklart inte hitta skriptet då, och jag gick bara över en gammal kod av mig och kunde rekonstruera vad jag gjorde i det skriptet, och här är kärnan i det:

  import idaapiimport idcfor import_rva, import_name i LIST_OF_IMPORTS: ea = imagebase + import_rva om idaapi.get_segm_class (getseg (ea)) == "XTRN": skriv ut ("import finns redan i ett XTRN-segment," förutsatt att det har rätt namn ") fortsätt elif idaapi.get_segm_class (getseg (ea-1 )) == "XTRN": skriv ut ("Importera är strax under ett importsegment," "utvidga segmentet till att inkludera denna ytterligare import") # krympande det aktuella segmentet # VARNING: detta förutsätter att den nuvarande importen är högst upp i sitt segment
# annars måste vi SPLITA importens nuvarande segment # och till det säger jag CBA aka kvar som en övning till läsaren idaapi.set_segm_start (ea, SegStart (ea) +4, 0) # expanderar det nya segmentet idaapi.set_segm_end (ea-1, SegEnd (ea-1) +4, 0) annat: skriv ut ("Skapa nytt segment för import") idc.AddSeg (ea, ea + 4, 0, 1, 4, 0) idc.SetSegClass ( ea, "XTRN") # byta namn på import till API-namn. Detta gör att IDA lägger till typinformation och automatiska kommentarer för alla funktioner som det är # bekant med idc.MakeName (ea, import_name) # Gör det en förskjutning att IDA visar det som import istället för att dölja det idc.MakeDword (ea)  

om att lägga till ett extra importavsnitt till PE-filen är ett acceptabelt alternativ

använd verktyg som iidking och lägg till ett importavsnitt med all import som löses dynamiskt

använd add korsreferensdialog eller idc add_dref () för att lägga till korsreferenser till dem

kod för demo

  #include <stdio.h> # include <windows.h> # pragma comment (lib, "user32.lib") DWORD (WINAPI * MyGetShortPathName) (LPCTSTR, LPTSTR, DWORD); int main (void) {MessageBox (NULL, "testing add import", "Test", MB_OK); char modname [MAX_PATH] = {0}; GetModuleFileName (NULL, modnamn, MAX_PATH); printf ("% s \ n", modnamn); HMODULE hMod = LoadLibrary ("kernel32.dll"); if (hMod) {* (FARPROC *) &MyGetShortPathName = GetProcAddress (hMod, "GetShortPathNameA"); if (MyGetShortPathName) {MyGetShortPathName (modnamn, modnamn, MAX_PATH); printf ("% s \ n", modnamn); }} returnera 0;}  

kompilerat och kört

  C: \ codesnips \ addimp \ addimp.exeC: \ CODESN ~ 1 \ addimp \ addimp. exe  

omodifierad import

  00412000 GetCurrentThread KERNEL32 XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXx400x i extra importavsnittet  
  C: \ codesnips \ addimp>fc / b addimp.exe modaddimp.exeJämför filer addimp.exe och MODADDIMP.EXE000000E6: 04 05 nr i avsnitt 00000131: 90 A0 00000160: F4 0000000161: 47 9000000164: 3C 5000000278: 00 2E, 00000279: 00 49 I0000027A: 00 49 I0000027B: 00 44 D0000027C: 00 4B K0000027D: 00 69 I0000027E: 00 6E N0000027F: 00 67 G00000281: 00 02 vsize00000285: 00 0100000289: 00 020000028D: 00 5E0000028E: 00 010000029C: 00 200000029F: 00 E0  
 
 ida importerar fönster kopiera klistra in av modifierad exe 
  00412000 GetCurrentThread KERNEL32 XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX00412130 MessageBoxA USER32 00419058 GetShortProck 
  Upp P sub_401000 + 89 samtal ds: GetProcAddress (data xref)  
 
 eller idc-kommando 
 
  add_dref (0x401089,0x419058,53 AddCodeXref (0x419058,0x401089,53);  
 
  
 
 att sammanställa dessa tre rader till ett plugin kommer att lägga till önskad import till den första modulens import 
 
  ogiltig idaapi-körning (int) {nodeidx_t index = import_node.alt1st (); osignerat långt värde = import_node.altval (index); netnode (värde) .supset (0x410004, "GetShortPathNameA \ 0" );}  
 
 idc-filen för att skapa segment 
 
  #include <idc.idc>static main () {auto addr; addr = 0x410000; SegCreate (addr, Lägg till r + 0x200,0,1,3,2); SetSegmentType (addr, SEG_XTRN); MakeDword (addr + 4); MakeName (addr + 4, "GetShortPathNameA");}  
 
 öppna en exe / kör idc / plugin / stäng och spara databas / öppna databas för att se den tillagda importen i importfliken för den första modulen 
 
 redigera 
 windows -> reset desktop fungerar på samma sätt som att stänga och öppna databasen så att stängning och öppning av databas elimineras 

Om du inte kan lägga till något i importvisaren kan du skriva ditt eget. Här är det enkla exemplet (det är något modifierat exempel som hänvisas till denna hexblogpost och ligger här med tillagd dubbelklickfunktion, tillagda kolumner, borttagen export och fixad bugg för ett fall av okänd ursprung för den importerade funktionen). Se funktionen BuildImports för att skapa ytterligare import (manual_func1 och manual_func2)

  importera idaapiimport idautilsfrån idaapi import PluginFormfrån PySide import QtGui, QtCoreclass ImpExpForm_t (PluginForm): def import_names_cb (själv, ea, ea, : self.items.append ((ea, '' om inte namn annat namn, ord)) # True -> Fortsätt uppräkning returnera True def BuildImports (själv): träd = {} nimps = idaapi.get_import_module_qty () för i i xrange (0, nimps): namn = idaapi.get_import_module_name (i) om inte namn: namn = "okänt" # Skapa en lista för importerade namn self.items = [] # Enum importerade poster i den här modulen idaapi.enum_import_names (i, self .import_names_cb) om namnet inte finns i trädet: träd [namn] = [] träd [namn] .förläng (själv.items) träd ["manuellt_tillagd"] = [(0x01, "manual_func1", 3), (0x02, "manual_ func2 ", 4)] returnera träd def PopulateTree (själv): # Rensa tidigare objekt self.tree.clear () # Bygg import root = QtGui.QTreeWidgetItem (self.tree) root.setText (0," Imports ") för dll_name , imp_entries in self.BuildImports (). items (): imp_dll = QtGui.QTreeWidgetItem (root) imp_dll.setText (0, dll_name) for imp_ea, imp_name, imp_ord in imp_entries: item = QtGui.QTreeWidgetItem (imp_dset) 0, "% s"% imp_name) item.setText (1, "0x% 08x"% imp_ea) item.setText (2, "0x% 08x"% imp_ord) def dblclick (self, item):
försök: idaapi.jumpto (int (item.text (1) .encode ("ascii", "ignorera"), 16)) utom: skriv ut "Kan inte hoppa" def OnCreate (själv, form): "" "Kallas när pluginformuläret skapas "" "# Skaffa överordnad widget self.parent = self.FormToPySideWidget (form) # Skapa trädkontroll self.tree = QtGui.QTreeWidget () self.tree.setColumnCount (4) self.tree.setHeaderLabels (( "Namn", "Adress", "Ordinarie", "Källa")) self.tree.itemDoubleClicked.connect (self.dblclick) self.tree.setColumnWidth (0, 100) # Skapa layoutlayout = QtGui.QVBoxLayout () layout .addWidget (self.tree) self.PopulateTree () # Populate PluginForm self.parent.setLayout (layout) def OnClose (self, form): "" "Called when the plugin form is closed" "" global ImpExpForm del ImpExpForm print " Stängd "def Visa (själv):" "" Skapar att formuläret inte skapas eller fokuseras det om det var "" "returnera PluginForm.Show (själv," Importera / exportera visare ", alternativ = PluginForm.FORM_PERSIST) # ---------------------- -------------------------------------------------- --def main (): global ImpExpForm försök: ImpExpForm utom: ImpExpForm = ImpExpForm_t () ImpExpForm.Show () # ------------------------- ------------------------------------------------- huvud ()