IDAPython 小记

记录一下 idapython 里面一些常用的数据类型

字段名	描述
op.type	操作数的类型（整数值，对应 o_reg, o_imm 等类型）。
op.addr	内存地址（适用于 o_mem, o_displ, o_far, o_near 类型）。
op.value	立即数值（适用于 o_imm 类型）。
op.reg	寄存器编号（适用于 o_reg, o_phrase, o_displ 类型）。
op.specval	特殊值，通常与处理器架构相关，用于表示附加信息。
op.offb	偏移量的字节偏移（适用于 o_displ 和 o_phrase 类型）。
op.dtype	数据类型（例如 dt_byte, dt_word, dt_dword 等，用于区分数据的大小）。
op.n	操作数编号（0 表示第一个操作数，1 表示第二个操作数，以此类推）。

op.type	类型名称	关键字段使用
o_void	无操作数	无字段使用。
o_reg	寄存器	op.reg: 寄存器编号。例如 eax。
o_mem	内存地址	op.addr: 内存地址（全局变量/内存变量）。
o_phrase	寄存器间接寻址	op.reg: 基础寄存器编号。 op.offb: 偏移量字节的偏移。
o_displ	带偏移间接寻址	op.reg: 基础寄存器编号。 op.addr: 偏移地址。 op.offb: 偏移量字节的偏移。
o_imm	立即数	op.value: 立即数值。
o_far	远跳转	op.addr: 跳转地址。 op.specval: 可能包含额外段选择器信息（视处理器架构而定）。
o_near	近跳转	op.addr: 跳转地址。
o_idpspec0-5	处理器特定类型	op.specval: 通常与具体的处理器架构相关，存储附加信息。

字段名	类型	描述
ea	ea_t	指令的有效地址（Effective Address），即指令在程序中的位置。
size	uint32	指令的字节长度，以字节为单位。
itype	uint16	指令类型/编号，表示该指令的操作（例如 mov, add 等）。
auxpref	uint32	指令的辅助属性，用于存储与处理器架构相关的额外信息。
segpref	uint16	段相关属性，通常与分段架构的指令有关（例如 x86 分段寄存器）。
insnpref	uint8	指令前缀，表示指令的修饰信息（例如 rep, lock 等 x86 前缀）。
flags	uint16	指令标志，表示该指令的一些状态（例如是否已被反汇编）。
ops	op_t[UA_MAXOP]	操作数数组，最多包含 UA_MAXOP（通常是 6 个）操作数。

ea (Effective Address)：
- 指令在内存中的地址。
- 对于每条指令，ea 是其所在代码段中的偏移地址。
- 例如，0x401000 表示该指令位于地址 0x401000。
size：
- 当前指令的字节长度。
- 例如，mov eax, ebx 在 x86 上可能占用 2 个字节（89 D8）。
itype：
- 指令类型，表示当前指令的操作。
- 对应处理器架构定义的指令集枚举值，例如 x86 的 NN_mov（值为某个整数）。
- 通过 idaapi.get_canon_mnem(insn.itype) 获取指令的助记符字符串。
auxpref：
- 辅助属性，用于存储指令的额外信息。
- 例如，在 ARM 架构中，这可能包含条件码（如 EQ, NE）。
segpref：
- 与分段架构相关的属性。
- 在 x86 架构中，这可能表示段寄存器（如 CS, DS）。
insnpref：
- 指令前缀信息。
- 例如，x86 架构中使用的 rep 或 lock 前缀。
flags：
- 指令的标志信息。
- 表示一些状态位，例如指令是否是合法的机器码。
ops：
- 操作数数组，每个操作数是一个 op_t 类型。
- 包含所有操作数的信息，如类型、值、地址等。
- 最多支持 UA_MAXOP 个操作数（通常是 6 个）。