IDA docker化

封装的历程

背景

1. 之前我封装了一波wine的dotnet docker，这次正好基于他继续封装

2. 网上直接找到了非常新的工作，里面有封装Python的方法，直接抄过来用hhh：https://github.com/nicolaipre/idapro-docker

历程 - 把IDA在docker里面跑起来

• 然而我本机的buildkit一开security=insecure就死机build没反应

• 最后发现原始docker只是概率性display找不到，我做了两次entrypoint就好了

历程 - 在GitHub actions里面构建

历程 - 解决IDAPython的警告问题

• 用插件来hook：IDAPython的加载时间比所有插件要早，因此在插件中hook不可行

• 用插件来patch，直接去除preload的逻辑：同样不行

• 用劫持来hook：
• crypt32.dll死活劫持不了
• secur32.dll确实可以劫持
• 逆向了一波7.6sp1的其他人的patch，偷到了他们的mem scan实现
• 同时也发现了基于delayload的DLL Redirect技术，可以只需要一个DLL完成所有的重定向操作
• hook可以、patch也可以，windows下面也都能正常跑，但是就是不知道为什么在wine下面就崩溃，且崩溃栈不全，难以查明原因

• 直接patch二进制文件，把preload解决一切问题（

历程 - 在Wine中跑起来IPython Kernel

• IDAPython正常了，但是ipykernel却一直挂

• 每次崩溃的RaiseException显示都是libzmq的epoll挂了，errno是Invalid Argument
• 很显然，wine对windows的事务api的支持不全
• 显然，就不应该用epoll，简单搜索可知zmq支持select、poll等各种poller
• 但是pyzmq直接从bintray拉取的官方dll，因此直接开了epoll
• 通过源码重新编译可以解决

python3 setup.py fetch_libzmq
python3 -m cibuildwheel . --platform windows

问题

问题1：IDAPython无法加载，导致ida崩溃

python3.dll 是个空的 DLL，导出表里面都是 forward 到 python38.dll 的同名函数 wine 在处理这些 forward 条目的时候，虽然加载了 python38.dll，但是没有给 python38.dll 的引用计数 +1，所以一旦有谁触发 FreeLibrary 就会被干掉 IDA 在加载插件的过程中，对 idapython 做了特判，弄了一个特殊的步骤叫 preload（涉及到 Get/SetDllDirectory，控制 DLL 加载路径） IDA 会额外做一步 LoadLibraryW(L"...\\python38.dll")，再走普通的插件加载流程 LoadLibrary("idapython3.dll") 并触发加载 python3.dll 走完这个流程后，会FreeLibrary(python38.dll)，在Windows下有引用计数保护，不会真正unload，但是Wine就gg了

问题2：Wine display问题

问题3：License agreement问题