4.4 KiB
4.4 KiB
Binary Ninja 快捷键与 Python API 速查
Binary Ninja 双入口：GUI（快捷键 + 面板）与 Python API（File > Python 面板 / 无头脚本 / 插件）。快捷键以官方文档（docs.binary.ninja）与默认 keybindings 为准；API 以 binaryninja 模块帮助为准。
快捷键速查（按任务分组）
| 任务 | 快捷键 | 说明 |
|---|---|---|
| 反汇编/反编译切换 | Space | 汇编视图 ↔ 反编译视图 |
| IL 循环 | i | 反汇编 / LLIL / MLIL / HLIL 循环切换 |
| IL 级别菜单 | 右下角 Options | 图形化选 Lifted LLIL/LLIL/MLIL/HLIL |
| 重命名 | n | 函数/变量/全局符号 |
| 改类型 | y | 输入 C 类型字符串，类型传播自动生效 |
| 设指针引用 | o | 当前位置创建指针 |
| 设字符数组 | a | 到下一个 NUL 的字符数组 |
| 整型宽度循环 | d | 循环 1/2/4/8 字节整型（数字键 1/2/4/8 直接设） |
| 建数组 | * | 选中多个同类变量转数组 |
| 有符号/无符号 | - | 整型显示切换 |
| 十六进制/十进制 | 0 | 整型显示进制切换 |
| 注释 | 右键 Comment | 添加注释（无固定默认快捷键，右键菜单可达） |
| 反编译单函数 | 双击函数 | 默认 HLIL 视图 |
| 跳转 | g | 地址/符号跳转 |
| 返回 | Esc | 返回上一个位置 |
Python API 常用（按族）
- 加载与分析:
binaryninja.load(path)→bv；bv.update_analysis_and_wait()（无头必需）；bv.save()写回 - 函数:
bv.functions；bv.get_function_at(addr)；f.medium_level_il/f.high_level_il/f.llil；f.get_callers()/f.callees；f.name = "新名"（直接赋值改名） - 数据/字符串:
bv.get_strings()；bv.get_data_var_at(addr)；bv.get_data_refs(addr)（谁引用该数据） - 引用:
bv.get_code_refs(addr)；bv.get_data_refs(addr)——定位链脚本化入口 - 类型:
bv.parse_type_string("int (*)(void*, size_t)")；Types面板定义结构体后tinfo_t应用 - 注释:
f.set_comment(addr, "text")；f.get_comment(addr) - 读写内存:
bv.read(addr, n)/bv.write(addr, data)（补丁/解密循环用）；bv.get_length()文件大小 - 日志:
bv.log_info("...")/print()（GUI 控制台） - 无头: 无
binaryninja-headlessCLI——install_api.py注册后脚本内binaryninja.load(path)+update_analysis_and_wait()直接跑；headless license 用官方独立下载包（download_headless.py）
常用操作序列（组合套路）
1. 定位校验逻辑（字符串 → 引用 → MLIL）
Strings 视图找提示串 → 双击进反汇编 → 右键 Show References
→ 跳到引用函数 → 双击进反编译视图 → i 切 MLIL 阅读数据流
→ n 重命名关键函数/变量 → 结论写注释
2. 无头批量导出（函数 + HLIL）
import binaryninja, json
bv = binaryninja.load("sample.bin")
bv.update_analysis_and_wait()
out = {}
for f in bv.functions:
if f.analysis_skip_reason is not None:
continue
out[hex(f.start)] = {"name": f.name, "hlil": str(f.high_level_il)[:2000]}
with open("out.json", "w") as fp:
json.dump(out, fp, indent=1)
3. 解密循环批量 patch
bv = binaryninja.load("sample.bin")
bv.update_analysis_and_wait()
base, key = 0x401000, 0x55
for i in range(0x100):
bv.write(base + i, bytes([bv.read(base + i, 1)[0] ^ key]))
bv.save() # 写回前确认在副本上操作
4. 批量标注调用点（给所有 call check 的函数加注释）
bv = binaryninja.load("sample.bin")
bv.update_analysis_and_wait()
target = bv.get_symbol("check_license") # 按符号名取
for ref in bv.get_code_refs(target.address):
bv.get_function_at(ref.address).set_comment(ref.address, "calls check_license")
bv.save()
实现教训（内化）
- 无头脚本
update_analysis_and_wait()之前任何遍历都是空结果——先等分析 - 改名/改类型用属性赋值（
f.name = ...）比 API 调用直观；但所有修改要bv.save()才落盘 - 写内存前先
bv.read记录原始字节；patch 场景在副本文件上操作 - IL 级别影响结论：HLIL 可读性最好但可能丢细节，MLIL 与反汇编对不上时降 LLIL 核对
get_code_refs/get_data_refs是脚本化定位链的核心——手点 xrefs 的批量替代
使用注意
- 全部在沙箱内执行（re-analyze/platform-tips 最高原则）；脚本触发动态执行默认沙箱内
- 结论写 re-analyze/analysis-contract；与 re-triage 初勘值对照入档