Dominik Antal
2014-01-13 23:11:10 UTC
Estoy revirtiendo una aplicación con IDA. Mi máquina virtual falló y dejó la base de datos IDA en un estado descomprimido corrupto.
La próxima vez que intenté volver a cargarlo, IDA me dio el siguiente mensaje de error: La base de datos de entrada está dañada: CRC32 mistmatch. ¿Continuar? unas cuantas veces, luego se cierra con el error bTree error: index file is bad . Buscar en Google estos mensajes de error no arrojó resultados útiles, lo cual es inusual.
Me gustaría restaurar la base de datos, o al menos extraer los datos de alguna manera.
Ya intenté lo siguiente:
- Zynamics bindiff (no pude abrir el BID, dijo que probablemente esté abierto en otra instancia de IDA, lo que supongo que es un resultado de los datos dañados)
- Diferencia hexadecimal manual: simplemente no puedo interpretar la salida.
En este punto, estoy pensando en analizar el IDB y luego diferenciar ese resultado manualmente.
Entonces, ¿cómo puedo analizar / extraer datos de archivos IDB?
En tal caso, lo primero que haría es: cancelar. Después de eso, tomaría una copia de seguridad del IDB empaquetado y desempaquetado y luego procedería con cualquiera de las opciones que ofrece IDA y luego retrocedo y uso la otra opción si la primera no funciona. Si su máquina virtual falla, es probable que el estado de la base de datos esté en un estado inconsistente, por lo que lo mejor es ponerse en contacto con `support@hex-rays.com`. De lo contrario, puede utilizar el SDK y el libro IDA para averiguar los detalles del formato BID y extraer los detalles que puede recuperar.
@0xC0000022L ¿Existe alguna herramienta pública para analizar los BID que conoce?
No tengo conocimiento de ninguno, no.
http://www.openrce.org/forums/posts/917
@VitalyOsipov: Me encuentro en esta situación de vez en cuando. Y si bien tiene sentido solicitar soporte a Hex-Rays, también tiene sentido preguntar sobre una clave pública. Por ejemplo, podría ser que el BID contenga datos sensibles que no deben llegar a ningún tercero bajo ninguna circunstancia. Así que creo que, independientemente de los antecedentes, es una pregunta válida y valiosa. Por mi parte, espero ver una respuesta que apunte a dicha herramienta disponible públicamente. Incluso si solo puede saciar mi apetito por la curiosidad sobre el formato del BID sin profundizar en `netnode.hpp`;)
Si alguien da una respuesta que apunta a una herramienta de código abierto que está disponible públicamente, lo recompensaré con 150 puntos de reputación adicionales además de la recompensa de Dominik.
La mejor persona para responder a esto es el propio Ilfak G.
Ilfak siempre responde muy rápido. Póngase en contacto con él, probablemente le pedirá su archivo idb y (cuando me pase algo como esto) recibirá el parche en varios días. Además, _siempre_ mantenga una copia de seguridad.
@Stolas Esta es una situación retorcida, porque estoy obligado por un contrato, no puedo entregar dicho BID a nadie.
@DominikAntal Aún así, recomendaría contactarlo y explicarle la situación. Pero continuemos en el chat sobre este tema. Como esta no es la ubicación correcta para hablar de esto.
No sé las razones cercanas (y los requisitos) aquí, pero si OP ya no tiene este problema (ha pasado un año), ¿debería cerrarse?
No encontré una solución a este problema.