IDAPython 逆向工程脚本编写指南：现代模块使用与核心模式详解

idapython by mrexodia/ida-pro-mcp

77 周安装量

6,700 GitHub Stars

GitHub

安装命令

npx skills add https://github.com/mrexodia/ida-pro-mcp --skill idapython

逆向工程自动化安全

🇨🇳中文介绍

IDAPython

使用现代的 ida_* 模块。避免使用遗留的 idc 模块。

模块路由

任务	模块	关键项
字节/内存	`ida_bytes`	`get_bytes`, `patch_bytes`, `get_flags`, `create_*`
函数

广告位招租

在这里展示您的产品或服务

触达数万 AI 开发者，精准高效

联系我们

遍历函数中的指令

for head in idautils.FuncItems(func_ea):
    insn = ida_ua.insn_t()
    if ida_ua.decode_insn(insn, head):
        print(f"{head:#x}: {insn.itype}")

for xref in idautils.XrefsTo(ea):
    print(f"{xref.frm:#x} -> {xref.to:#x} type={xref.type}")

data = ida_bytes.get_bytes(ea, size)
ida_bytes.patch_bytes(ea, b"\x90\x90")

name = ida_name.get_name(ea)
ida_name.set_name(ea, "new_name", ida_name.SN_NOCHECK)

cfunc = ida_hexrays.decompile(ea)
if cfunc:
    print(cfunc)  # 伪代码
    for lvar in cfunc.lvars:
        print(f"{lvar.name}: {lvar.type()}")

遍历 ctree（反编译后的 AST）

class MyVisitor(ida_hexrays.ctree_visitor_t):
    def visit_expr(self, e):
        if e.op == ida_hexrays.cot_call:
            print(f"Call at {e.ea:#x}")
        return 0

cfunc = ida_hexrays.decompile(ea)
MyVisitor().apply_to(cfunc.body, None)

tif = ida_typeinf.tinfo_t()
if ida_typeinf.parse_decl(tif, None, "int (*)(char *, int)", 0):
    ida_typeinf.apply_tinfo(ea, tif, ida_typeinf.TINFO_DEFINITE)

udt = ida_typeinf.udt_type_data_t()
m = ida_typeinf.udm_t()
m.name = "field1"
m.type = ida_typeinf.tinfo_t(ida_typeinf.BTF_INT32)
m.offset = 0
m.size = 4
udt.push_back(m)
tif = ida_typeinf.tinfo_t()
tif.create_udt(udt, ida_typeinf.BTF_STRUCT)
tif.set_named_type(ida_typeinf.get_idati(), "MyStruct")

for s in idautils.Strings():
    print(f"{s.ea:#x}: {str(s)}")

ida_auto.auto_wait()  # 阻塞直到自动分析完成

常量	值/用途
`BADADDR`	无效地址标记
`ida_name.SN_NOCHECK`	跳过名称验证
`ida_typeinf.TINFO_DEFINITE`	强制应用类型
`o_reg`, `o_mem`, `o_imm`, `o_displ`, `o_near`	操作数类型
`dt_byte`, `dt_word`, `dt_dword`, `dt_qword`	数据类型
`fl_CF`, `fl_CN`, `fl_JF`, `fl_JN`, `fl_F`	代码交叉引用类型
`dr_R`, `dr_W`, `dr_O`	数据交叉引用类型

切勿手动转换十六进制/十进制 — 使用 int_convert MCP 工具
等待分析完成 : 在读取结果之前调用 ida_auto.auto_wait()
线程安全 : IDA SDK 调用必须在主线程上运行（使用 @idasync）
64 位地址 : 始终假设 ea_t 可能是 64 位的

避免	应改为
`idc.*` 函数	使用 `ida_*` 模块
硬编码地址	使用名称、模式或交叉引用
手动十六进制转换	使用 `int_convert` 工具
阻塞主线程	对长时间操作使用 `execute_sync()`
猜测类型	从反汇编/反编译结果推导

关于任何模块的完整文档，请阅读 docs/<module>.md：

高频使用 : ida_bytes, ida_funcs, ida_hexrays, ida_typeinf, ida_name, idautils
中频使用 : ida_segment, ida_xref, ida_ua, ida_frame, ida_kernwin
专用 : ida_dbg（调试器）, ida_nalt（netnode 存储）, ida_regfinder（寄存器追踪）

来自 hex-rays.com 的完整 RST 源代码位于 docs/<module>.rst。

🇺🇸English

IDAPython

Use modern ida_* modules. Avoid legacy idc module.

Module Router

Task	Module	Key Items
Bytes/memory	`ida_bytes`	`get_bytes`, `patch_bytes`, `get_flags`, `create_*`
Functions	`ida_funcs`	`func_t`, `get_func`, `add_func`, `get_func_name`
Names	`ida_name`	`set_name`, `get_name`, `demangle_name`
Types	`ida_typeinf`	`tinfo_t`, `apply_tinfo`, `parse_decl`
Decompiler	`ida_hexrays`	`decompile`, `cfunc_t`, `lvar_t`, ctree visitor
Segments	`ida_segment`	`segment_t`, `getseg`, `add_segm`
Xrefs	`ida_xref`	`xrefblk_t`, `add_cref`, `add_dref`
Instructions	`ida_ua`	`insn_t`, `op_t`, `decode_insn`
Stack frames	`ida_frame`	`get_frame`, `define_stkvar`
Iteration	`idautils`	`Functions()`, `Heads()`, `XrefsTo()`, `Strings()`
UI/dialogs	`ida_kernwin`	`msg`, `ask_*`, `jumpto`, `Choose`
Database info	`ida_ida`	`inf_get_*`, `inf_is_64bit()`
Analysis	`ida_auto`	`auto_wait`, `plan_and_wait`
Flow graphs	`ida_gdl`	`FlowChart`, `BasicBlock`
Register tracking	`ida_regfinder`	`find_reg_value`, `reg_value_info_t`

Core Patterns

Iterate functions

for ea in idautils.Functions():
    name = ida_funcs.get_func_name(ea)
    func = ida_funcs.get_func(ea)

Iterate instructions in function

for head in idautils.FuncItems(func_ea):
    insn = ida_ua.insn_t()
    if ida_ua.decode_insn(insn, head):
        print(f"{head:#x}: {insn.itype}")

Cross-references

for xref in idautils.XrefsTo(ea):
    print(f"{xref.frm:#x} -> {xref.to:#x} type={xref.type}")

Read/write bytes

data = ida_bytes.get_bytes(ea, size)
ida_bytes.patch_bytes(ea, b"\x90\x90")

Names

name = ida_name.get_name(ea)
ida_name.set_name(ea, "new_name", ida_name.SN_NOCHECK)

Decompile function

cfunc = ida_hexrays.decompile(ea)
if cfunc:
    print(cfunc)  # pseudocode
    for lvar in cfunc.lvars:
        print(f"{lvar.name}: {lvar.type()}")

Walk ctree (decompiled AST)

class MyVisitor(ida_hexrays.ctree_visitor_t):
    def visit_expr(self, e):
        if e.op == ida_hexrays.cot_call:
            print(f"Call at {e.ea:#x}")
        return 0

cfunc = ida_hexrays.decompile(ea)
MyVisitor().apply_to(cfunc.body, None)

Apply type

tif = ida_typeinf.tinfo_t()
if ida_typeinf.parse_decl(tif, None, "int (*)(char *, int)", 0):
    ida_typeinf.apply_tinfo(ea, tif, ida_typeinf.TINFO_DEFINITE)

Create structure

udt = ida_typeinf.udt_type_data_t()
m = ida_typeinf.udm_t()
m.name = "field1"
m.type = ida_typeinf.tinfo_t(ida_typeinf.BTF_INT32)
m.offset = 0
m.size = 4
udt.push_back(m)
tif = ida_typeinf.tinfo_t()
tif.create_udt(udt, ida_typeinf.BTF_STRUCT)
tif.set_named_type(ida_typeinf.get_idati(), "MyStruct")

Strings list

for s in idautils.Strings():
    print(f"{s.ea:#x}: {str(s)}")

Wait for analysis

ida_auto.auto_wait()  # Block until autoanalysis completes

Key Constants

Constant	Value/Use
`BADADDR`	Invalid address sentinel
`ida_name.SN_NOCHECK`	Skip name validation
`ida_typeinf.TINFO_DEFINITE`	Force type application
`o_reg`, `o_mem`, `o_imm`, `o_displ`, `o_near`

Critical Rules

NEVER convert hex/decimal manually — use int_convert MCP tool
Wait for analysis : Call ida_auto.auto_wait() before reading results
Thread safety : IDA SDK calls must run on main thread (use @idasync)
64-bit addresses : Always assume ea_t can be 64-bit

Anti-Patterns

Avoid	Do Instead
`idc.*` functions	Use `ida_*` modules
Hardcoded addresses	Use names, patterns, or xrefs
Manual hex conversion	Use `int_convert` tool
Blocking main thread	Use `execute_sync()` for long ops
Guessing at types	Derive from disassembly/decompilation

Detailed API Reference

For comprehensive documentation on any module, read docs/<module>.md:

High-use : ida_bytes, ida_funcs, ida_hexrays, ida_typeinf, ida_name, idautils
Medium-use : ida_segment, ida_xref, ida_ua, ida_frame, ida_kernwin

Full RST sources from hex-rays.com available at docs/<module>.rst.

Weekly Installs

Repository

mrexodia/ida-pro-mcp

GitHub Stars

6.7K

First Seen

Jan 29, 2026

Security Audits

Gen Agent Trust HubFail SocketPass SnykPass

Installed on

opencode72

codex63

gemini-cli60

github-copilot59

amp55

kimi-cli55

通过 LiteLLM 代理让 Claude Code 对接 GitHub Copilot 运行 | 高级变通方案指南

46,900 周安装

Specialized : ida_dbg (debugger), ida_nalt (netnode storage), ida_regfinder (register tracking)

IDAPython 逆向工程脚本编写指南：现代模块使用与核心模式详解

🇨🇳中文介绍

IDAPython

模块路由

相关 Skills

核心模式

遍历函数

遍历函数中的指令

交叉引用

读取/写入字节

名称

反编译函数

遍历 ctree（反编译后的 AST）

应用类型

创建结构体

字符串列表

等待分析完成

关键常量

关键规则

反模式

详细 API 参考

🇺🇸English

IDAPython

Module Router

Core Patterns

Iterate functions

Iterate instructions in function

Cross-references

Read/write bytes

Names

Decompile function

Walk ctree (decompiled AST)

Apply type

Create structure

Strings list

Wait for analysis

Key Constants

Critical Rules

Anti-Patterns

Detailed API Reference

最新 Skills