IDA学习笔记

刺骨的言语ヽ痛彻心扉 2022-09-24 06:21 290阅读 0赞

# [IDA学习笔记 ][IDA_] #

2015-06-09 10:45  4245人阅读 [评论][Link 1](0) 收藏 [举报][Link 2]

![category_icon.jpg][] 分类：

安全*（8）* ![arrow_triangle_20_down.jpg][]其它*（20）* ![arrow_triangle_20_down.jpg][]

目录[(?)][Link 3][\[+\]][Link 3]

# 标题：IDA学习笔记 #

作者：kagula

日期：2015-06-09

环境：IDA 6.6、VS2013Update4

阅读前提: 熟悉计算机指令

## 介绍 ##

通过分析自己用VS2013写的Win DLL来学习IDA反汇编工具的使用。这里记录了我分析二进制代码过程中经常遇到的问题。

首先通过参考资料\[1\]来熟悉下IDA的使用，建立个最基本的概念。“**idb**”文件是你分析样本的数据库文件，你对样本的分析信息，比如对函数变量的重命名了，代码的注释了，都会存在这个文件里。

PE（**Portable Executable**）格式，是微软Win32环境可移植可执行文件(如exe、dll、vxd、sys和vdm等)的标准文件格式，这是我现在要分析的样本格式。

**IDA的主要窗口如下**

**IDA view:**  定位要修改的代码段在哪里。

**Hex view:**  用来修改我们的数据

exports window:   导出窗口

import window:   导入窗口

names window:   函数和参数的命名列表

functions window: 样本的所有函数窗口

strings window:   字符串显示窗口，会列出程序中的所有字符串

上面几个窗口由于样本的作者会做些反分析处理， 你装载样本后， 马上去看是不准确的。

分析二进制代码比想像中的复杂很多，除了二进制代码比较冗长外，样本作者还会采取各种措施阻碍你分析它的代码。

一般样本会hide关键字符串，让你找不到。

当然一旦你的IDA程序正确起来加载了样本，就没有破解不了的东西，难是**难在时间成本的控制**，因为你不可能花几年时间把所有的二进制代码读一遍。

## 如何确定反汇编的区域 ##

这是**最难的部份**，样本的作者**\[1\]**可能加壳**\[2\]**代码段里放数据，数据段里放代码让IDA无法自动线性反汇编，不能确定函数和过程边界**\[3\]**在代码段里插入特定指令让IDA无法自动线性反汇编**\[4\]**函数体（代码）分散在各个数据段里，你必须手动确定函数体**\[5\]**注册码放入多级指针中分别进行多级offset，让你无法使用IDAtrace**\[6\]**每次启动进程，根据注册码生成的内部注册码都不一样，等等。

如果样本比较简单的话，可以通过样本访问了哪些系统API为始点进行动态分析，确定反汇编区域。

在这个过程中你经常需要改变“内存变量的值”，“执行流程”来测试你现在所跟踪的分支是否有“价值”进一步分析其含义。

## 如何修改数据 ##

在Hex View窗口下，**\[S1\]双击**要修改的地方**\[S2\]**使用\[**F2**\]捷方式修改当前字节**\[S3\]**再按下\[**F2**\]快捷方式应用修改。

## 如何改变执行流程 ##

\[1\]修改跳转指令。

\[2\]修改内存数据。

\[3\]IDA View中使用下面的命令Jump to IP,Set IP, Run to cursor。

## 保存修改 ##

使用下面的主菜单命令，直接把修改保存到输入文件中

** \[IDA  Main Menu\]->\[Edit\]->\[PatchProgram\]->\[Apply patches to input file...\]。**

## 如何查看函数之间的关系 ##

IDAView下使用小键盘“\-”，“\+”快捷方式可以在代码同关系图之间切换。

## 如何查看符号引用 ##

IDA View下使用\[**X**\]快捷方式，定位引用了当前符号的代码。

## FQA ##

**Q 如何实现16进制加法运算?**

Matlab中使用下面的命令可以实现0x50+0x150=0x1a0的计算

dec2hex(hex2dec('50')+hex2dec('150'))

**Q  C语言函数形参表压栈顺序**

从右向左压栈，Call指令返回后，需要根据函数的参数数量修改esp寄存器的值，

add     esp,0Ch;三个参数，每个参数四字节所以是0ch

**Q 如何显示C伪代码**

如果有\[Main menu\]->\[View\]->\[Open SubViews\]->\[**Pseudocode F5**\]菜单，说明你已经安装了**Hex Rays decompiler**插件，可以在查看汇编的时候，按\[F5\]打开伪代码子窗口。

**Q 如何返回Function(Proc)的上级调用**

打开“Call Stack”View。使用\[**Esc**\]返回。

**Q  如何把变量重定义为数组**

使用快捷键"\*"。

**Q如何对DLL文件进行动态跟踪**

Step1: 用\[**F2**\]在IDA View中当前代码行切换断点。

Step2: 启动装载DLL的EXE文件。

Step3: 使用\[Debugger\]->\[**Attach toprocess**\]把当前二进制代码attach到正在运行的进程中去。

Step4: 现在应该进入断点。\[**F7**\]Stepinto。\[**F8**\]Stepover。\[**F9**\]continue。

Step5:  Cursor移到内存位置后双击就可以查看到具体内存中的值，右击快捷菜单\[**Jumpto IP**\]项，可以回到你刚才指令的地方。

Step6: IDA View中有很多行代码，可以使用\[**;**\]快捷键对当前行进行注释。

Step7: 为了观察具体指令的二进制表示你还需要\[IDAView\]->\[右击快捷菜单\]->\[**Synchronize with**\]->\[Hex View 1\]这样Hex View会和你的IDA View中光标位置同步。

没有第七步，你很难看懂ASM的意思。

Step8: 在IDA View中为函数改名，用\[**N**\]快捷键。

Step10: 观察内存（变量）\[Tool bar\]->\[**Open the watch list window**\],\[Toolbar\]->\[**Add a variable towatch**\]。

Step11（可选）:  如果作者混淆了二进制代码，你需要IDAView在频繁使用\[**D**\]ata快捷键，\[**C**\]ode快捷键，强制IDA，解析指定数据块为数据(Data)或代码(Code)。

## 常用指令同二进制的对应关系 ##

NOP         00 00 A0 E1

## 常用工具 ##

WinSpy 查看进程的窗口信息

http://www.catch22.net/software/winspy-17

Resource Hacker查看EXE、DLL的资源

http://www.angusj.com/resourcehacker/

## 参考资料 ##

\[1\] 利用IDA Pro反汇编程序

http://www.cnblogs.com/vento/archive/2013/02/09/2909579.html

\[2\] experiment : add struct define onIDA6.1

http://blog.csdn.net/lostspeed/article/details/9300575

\[3\] ASCII码与16进制的互相转换(表)

http://www.cnblogs.com/ciey/archive/2010/01/05/1639969.html

\[4\] 去除 dll 和 exe 文件的数字签名

http://www.cnblogs.com/szyicol/archive/2012/06/21/2558104.html

\[5\]在线破解工具包

http://down.52pojie.cn/Tools/

## 后记 ##

有空浏览下IDA主菜单、popup menu、IDA本身自带的帮助文档，了解有哪些基本功能可供我们调用，以及如何使用。

[IDA_]: http://blog.csdn.net/lee353086/article/details/46423737
[Link 1]: http://blog.csdn.net/lee353086/article/details/46423737#comments
[Link 2]: http://blog.csdn.net/lee353086/article/details/46423737#report
[category_icon.jpg]: /images/20220719/b4a84db9bbf1449a8015f7c141178b98.png
[arrow_triangle_20_down.jpg]: /images/20220719/78416b7ab3b44ed88cacaf1895e87ee4.png
[Link 3]: http://blog.csdn.net/lee353086/article/details/46423737#