thawsystems/ida-base

Docker IDA (Wine)

在Docker容器中运行Hex Rays的IDA Pro反汇编器，适用于自动化、扩展和分发IDAPython脚本以执行大规模***任务。

本项目是https://github.com/intezer/docker-ida%E9%A1%B9%E7%9B%AE%E7%9A%84%E5%88%86%E6%94%AF%EF%BC%8C%E5%8C%BA%E5%88%AB%E5%9C%A8%E4%BA%8E%E4%BD%BF%E7%94%A8Windows%E7%89%88%E6%9C%AC%E7%9A%84IDA Pro许可证（而非Linux版本）。查看Intezer关于原项目的博客文章：https://web.archive.org/web/20170104214437/blog.intezer.com/docker-ida

!https://raw.githubusercontent.com/thawsystems/docker-ida/master/media/docker-ida.png

需求

• 已安装Docker的机器。https://docs.docker.com/engine/installation/
• IDA Pro Windows版本安装文件（.exe）及允许运行多实例的有效许可证。获取IDA Pro

安装

1. 克隆docker-ida仓库：

   bash
   git clone https://github.com/thawsystems/docker-ida
   

2. 将IDA Pro安装文件复制到仓库的ida目录：

   bash
   cp <ida安装文件路径> docker-ida/ida/idasetup.exe
   

3. 构建IDA Docker镜像：

   bash
   sudo docker build -t ida --build-arg IDA_PASSWORD=<密码> --build-arg IDA_INSTALLATION_FILE=idasetup.exe docker-ida/ida
   

   注意：建议将构建好的镜像推送到私有Docker Hub仓库（https://docs.docker.com/engine/userguide/containers/dockerrepos/#pushing-a-repository-to-docker-hub%EF%BC%89%EF%BC%8C%E5%90%A6%E5%88%99%E9%9C%80%E5%9C%A8%E6%AF%8F%E5%8F%B0%E6%9C%BA%E5%99%A8%E4%B8%8A%E9%87%8D%E6%96%B0%E6%9E%84%E5%BB%BA%E9%95%9C%E5%83%8F%E3%80%82

启动IDA服务容器

IDA服务容器通过HTTP接收远程IDA命令并执行。启动容器的命令：

bash
sudo docker run -v <主机共享目录>:/shared -p <主机端口>:4000 -it ida -c <核心数> -t <超时时间>

• <主机共享目录>：主机上包含IDA需处理文件（脚本、待反汇编文件等）的本地目录。Wine/IDA使用Z:\映射到/shared。 注意：若在Windows上使用https://www.docker.com/products/docker-toolbox%EF%BC%8C%E8%B7%AF%E5%BE%84%E8%A7%A3%E6%9E%90%E5%8F%AF%E8%83%BD%E5%AD%98%E5%9C%A8%E9%97%AE%E9%A2%98%EF%BC%8C%E9%9C%80%E5%9C%A8%E8%B7%AF%E5%BE%84%E5%BC%80%E5%A4%B4%E4%BD%BF%E7%94%A8%60//%60%EF%BC%88%E5%8F%82%E8%80%83http://stackoverflow.com/questions/33312662/docker-toolbox-mount-file-on-windows#answers%EF%BC%89%E3%80%82
• <主机端口>：主机用于连接容器的端口（参考https://docs.docker.com/engine/reference/commandline/run/#publish-or-expose-port-p-expose%EF%BC%89%E3%80%82
• <核心数>：IDA工作进程数量，建议每主机核心最多4个 worker，默认8。
• <超时时间>：每个请求的服务器超时时间，默认30。 注意：若在同一主机运行多个容器，需将每个容器发布到不同的主机端口。

使用

服务器端

• 启动两个IDA容器作为守护进程：

  bash
  sudo docker run -v /path/to/current/folder/docker-ida/example_volume:/shared -p 4001:4000 -d ida -c 4
  sudo docker run -v /path/to/current/folder/docker-ida/example_volume:/shared -p 4002:4000 -d ida -c 4
  

客户端

2. 安装ida_client Python库： Windows：

   bash
   pip install "git+https://github.com/intezer/docker-ida#egg=ida_client&subdirectory=ida_client"
   

   Linux / Mac OS X：

   bash
   pip install 'git+https://github.com/intezer/docker-ida#egg=ida_client&subdirectory=ida_client'
   

   注意：pip版本需8.1.1或更高。

3. 使用Python库向容器发送命令：

   python
   import ida_client
   
   client = ida_client.Client(['http://localhost:4001', 'http://localhost:4002'])
   
   client.send_command('idaw -Sextract_file_functions.py -A zlib.dll.sample', timeout=600)
   # 返回True
   
   files = ['zlib.dll.sample', 'Win32OpenSSL.sample']
   commands = ['idaw -Sextract_file_functions.py -A %s' % file for file in files]
   
   client.send_multiple_commands(commands, timeout=600)
   # 返回[True, True]
   

高级用法

• 向仓库的ida-base/requirements.txt添加额外Python库并重新构建ida-base镜像。已预装https://github.com/tmr232/Sark%E5%BA%93%E4%BB%A5%E5%8A%A0%E9%80%9FIDAPython%E8%84%9A%E6%9C%AC%E7%BC%96%E5%86%99%E3%80%82
• 处理64位IDA文件：

  python
  client.send_command('idaw64 -Sida_python_script.py -A sample_x64.exe', timeout=600)
  # 返回True
  

• 可使用任何IDA命令行参数（除GUI相关开关外）。

故障排除

若脚本运行异常：

• 检查<主机共享目录>/logs/中的日志文件，每个容器有不同的日志文件，命名为<容器名称>-ida-service.log。
• 确保IDAPython脚本兼容Python 2.7，IDAPython不支持Python 3.x。
• 确保在构建Docker镜像前将Python库添加到requirements.txt，当requirements.txt更改时，需重新构建镜像和容器。
• 确保发送命令中的IDAPython脚本和待反汇编文件路径相对于<主机共享目录>。

注意事项

• 已测试兼容IDA 6.95。
• 使用本项目前需阅读IDA许可协议。
• 更多信息见Intezer博客文章：https://web.archive.org/web/20170104214437/blog.intezer.com/docker-ida