IDAPro使用技巧及大杂烩.docx

IDAPro使用技巧及大杂烩.docx

《IDAPro使用技巧及大杂烩.docx》由会员分享，可在线阅读，更多相关《IDAPro使用技巧及大杂烩.docx（10页珍藏版）》请在冰豆网上搜索。

IDAPro使用技巧及大杂烩

IDAPro使用技巧及大杂烩

IDAPro基本简介

IDA加载完程序后，3个立即可见的窗口分别为IDA-View，Named，和消息输出窗口（outputWindow）。

IDA图形视图会有执行流，Yes箭头默认为绿色，No箭头默认为红色，蓝色表示默认下一个执行块。

在寄存器窗口中显示着每个寄存器当前的值和对应在反汇编窗口中的内存地址。

函数在进入时都会保存堆栈地址EBP和ESP，退出函数时恢复。

选择菜单Debugger下的Startprocess（也可以按F9键）来开始调试。

调试会让程序在电脑中执行，所以IDA会提示注意提防恶意程序、病毒和木马。

打开IDAPro6.5，为进入IDA界面提供三种选项，分别是New（新建），Go（运行），Previous（上一个）。

选择File菜单下的Open，打开想要逆向的可执行文件，会显示一个Loadanewfile的界面。

这里可以选择:

1.程序的类型；

2.处理器的类型；

3.加载的段地址和偏移量；

4.是否允许分析；

5.一些加载选项；

6.内核和处理器的一些选项；

7.windows系统dll所在的目录。

默认选择PE文件就可以，对于一些网络数据包或者其他格式的文件，可以使用二进制加载，自己进行解析。

工作区有多个子窗口，

IDAView-A是反汇编窗口，

HexView-A是十六进制格式显示的窗口，

Imports是导入表（程序中调用到的外面的函数），

Functions是函数表（这个程序中的函数），

Structures是结构，

Enums是枚举。

IDAview:

定位要修改的代码段在哪里。

Hexview:

用来修改我们的数据

exportswindow:

导出窗口

importwindow:

导入窗口

nameswindow:

函数和参数的命名列表

functionswindow:

样本的所有函数窗口

stringswindow:

字符串显示窗口，会列出程序中的所有字符串

IDA很智能，鼠标移到某些标识符上会自动有适当的提示，双击还能自动跳到相应的位置。

把一个函数逆向的方法很简单，只要按F5键就会出来逆向出的C语言程序了。

退出IDA时，会进行文件保存确认，如果需要继续进行分析，将IDA中间数据库打包，下次继续打开就可以进行分析；如果不需要继续分析，选择不要打包，不要存储数据库。

IDA打开应用程序时，会为其创建一个数据库，后缀为IDB。

IDB由4个文件组成:

后缀为id0的二叉树形式的数据库，

后缀为id1的程序字节标识，

后缀为nam的Named窗口的索引信息，

后缀为til的给定数据库的本地类型定义的相关信息。

一旦IDA为某个可执行程序创建数据库，它本身就不再需要访问这个可执行文件，除非使用IDA的Debug功能。

跳转指令分三类:

无条件跳转:

JMP;

根据CX、ECX寄存器的值跳转:

JCXZ（CX为0则跳转）、JECXZ（ECX为0则跳转）;

根据EFLAGS寄存器的标志位跳转,这个太多了.

学Win32汇编[28]-跳转指令:

JMP、JECXZ、JA、JB、JG、JL、JE、JZ、JS、JC、JO、JP等

—MOVSXMOVZX

比如

MOVSXEAX,BYTEPTR[00401000]

或

MOVZXEAX,BYTEPTR[00401000]

在C语言中应该如何表达啊?

比如定义一个全局变量

BYTEbt=101;

DWORDdw;

应该如何把bt赋值到dw中.并且功能与MOVSX/MOVZX相同?

汇编语言与C语言的语言构件不同，并不是一定能转成完全等价的C语言的代码的。

对于以上代码，可以这样理解：

movsx====>dw=（DWORD）（（signedchar）（bt））

movzx====>dw=（DWORD）（（unsignedchar）（bt））

movzx是把高位全部用0填充，而movsx是把原来数的最高位扩展成超出的位。

对于bt=101，也就是0x65，八位二进制是“”，因为它的最高位是0，因此这两种情况，dw都等于0x00000065

换一个，比如bt=247，也就是0xF7，八位二进制是“”它的最高位是1。

经过movsx变换后，dw等于0xfffffff7；

而经过movzx变换后，dw等于0x000000f7

交叉参考

通过交叉参考（XREF）可以知道指令代码互相调用的关系.如下:

.text:

00401165loc_401165:

;CODEXREF:

sub_401120+B|j

这句CODEXREF:

sub_401120+B|j表示该调用地址是401120,

“j”表示跳转（jump）

“o”表示偏移值（offset）

“p”表示子程序（procedure）

双击这里或按回车键可以跳到调用该处的地方

参考重命名:

找到一段代码（一般为函数入口名）,右键点击选择”Rename”可以将函数名称变成易懂的名称.

标签的用法:

在菜单”Jump”中选择”MarkPosition”将会打开标记当前位置功能,输入一个名称,在菜单”Jump/Jumptomarkedposition”中或按”Ctrl+M”键双击想要调转的名称,便会到达制定的代码位置.

进制的转换:

选择快捷键的#可以转换进制,选择”Toggleleadingzeroes”功能是用0填补数据前的空位.

cqd，为ConvertDoubletoQuad的缩写，意为将双字数据扩展为四字。

该指令先把edx的每一位置成eax的最高位（若eax>=0x80000000,则edx=0xFFFFFFFF；若eax

该指令常用于扩展被除数，很久前，指令集规定除数必须是被除数的一半长，这个规定一直被沿用。

使用IDIV执行除法时，如果除数是32位，这就要求被除数是64位，即EDX:

EAX，所以扩展一下EAX以满足除法指令的条件并且得到正确的结果。

DIV和IDIV

DIV和IDIV两个都是算术除法操作指令。

DIV是无符号数除法DIVs;完成两个无符号数相除。

IDIV是有符号数除法指令，完成两个有符号数相除。

被除数、商、除数、余数存放位置及对s的规定与DIV指令相同。

修改程序的指令或者数据，并进行保存

如何修改数据

在HexView窗口下，

[S1]双击要修改的地方

[S2]使用F2捷方式修改当前字节

[S3]再按下F2快捷方式应用修改。

如何改变执行流程

[1]修改跳转指令。

[2]修改内存数据。

[3]IDAView中使用下面的命令JumptoIP,SetIP,Runtocursor。

保存修改

使用下面的主菜单命令，直接把修改保存到输入文件中,即可。

[IDAMainMenu]->[Edit]->[PatchProgram]->[Applypatchestoinputfile…]。

OD中右键-保存到文件-选择

我的OD是这样的,只能修改一条,通过选择,保存一条重新载入再修改再保存.

如何对DLL文件进行动态跟踪

用[F2]在IDAView中当前代码行切换断点。

启动装载DLL的EXE文件。

使用[Debugger]->[Attachtoprocess]把当前二进制代码attach到正在运行的进程中去。

现在应该进入断点。

[F7]Stepinto。

[F8]Stepover。

[F9]continue。

Cursor移到内存位置后双击就可以查看到具体内存中的值，右击快捷菜单[JumptoIP]项，可以回到你刚才指令的地方。

IDAView中有很多行代码，可以使用[;]快捷键对当前行进行注释。

为了观察具体指令的二进制表示你还需要[IDAView]->[右击快捷菜单]->[Synchronizewith]->[HexView1]这样HexView会和你的IDAView中光标位置同步。

在IDAView中为函数改名，用[N]快捷键。

观察内存（变量）[Toolbar]->[Openthewatchlistwindow],[Toolbar]->[Addavariabletowatch]。

如果作者混淆了二进制代码，你需要IDAView在频繁使用[D]ata快捷键，[C]ode快捷键，强制IDA，解析指定数据块为数据（Data）或代码（Code）。

这些32位寄存器有多种用途，但每一个都有“专长”，有各自的特别之处。

EAX是”累加器”（accumulator）,它是很多加法乘法指令的缺省寄存器。

EBX是”基地址”（base）寄存器,在内存寻址时存放基地址。

ECX是计数器（counter）,是重复（REP）前缀指令和LOOP指令的内定计数器。

EDX则总是被用来放整数除法产生的余数。

ESI/EDI分别叫做”源/目标索引寄存器”（source/destinationindex）,因为在很多字符串操作指令中,DS:

ESI指向源串,而ES:

EDI指向目标串.

EBP是”基址指针”（BASEPOINTER）,它最经常被用作高级语言函数调用的”框架指针”（framepointer）.在破解的时候,经常可以看见一个标准的函数起始代码:

　pushebp;保存当前ebp

　　movebp,esp;EBP设为当前堆栈指针

　　subesp,xxx;预留xxx字节给函数临时变量.

　　…

这样一来,EBP构成了该函数的一个框架,在EBP上方分别是原来的EBP,返回地址和参数.EBP下方则是临时变量.函数返回时作movesp,ebp/popebp/ret即可.

ESP专门用作堆栈指针，被形象地称为栈顶指针，堆栈的顶部是地址小的区域，压入堆栈的数据越多，ESP也就越来越小。

在32位平台上，ESP每次减少4字节。

汇编中的ASSUME

经常用来将寄存器当作结构体指针来用

ASSUMEedx:

ptrSTRUCT;

将edx定义为STRUCT指针变量把STRUCT结构体的起始地址给edx

leaedx,STRUCT

这个时候可以用[edx].调用STRUCT的字段

ASSUMEedx:

nothing;

取消定义这个时候edx不是指针

[edx].不能调用字段了

如果是8086的那么将段REGASSUMEDS:

（某个数据段）

这样程序在使用这个数据段会用DS做段

Code段是不能指定段REG的必须是CS:

IP（EA）

快捷键

1.按空格键切换反汇编窗口（列表视图《=====》图形视图）

反汇编窗口有两种显示格式：

面向文本的列表视图和图形视图。

不同视图在不同的场景下各有所长，按空格键可以快速切换。

2.翻页esc和Ctrl+Enter

当执行跳转功能后,需要返回时,只要在工具栏中点击或按”Ctrl+Enter”键.

3.注释“;”和”:

”

按;号输入的注释,所有交叉参考处都会出现,

按:

号键输入的注释只在该处出现

4.使用小键盘“-”，“+”查看函数之间的关系

IDAView下使用小键盘“-”，“+”快捷方式可以在代码同关系图之间切换。

5.使用[X]查看符号引用

IDAView下使用[X]快捷方式，定位引用了当前符号的代码。

6.快捷键F5显示C伪代码

如果有[Mainmenu]->[View]->[OpenSubViews]->[PseudocodeF5]菜单，说明你已经安装了HexRaysdecompiler插件，可以在查看汇编的时候，按[F5]打开伪代码子窗口。

7.使用快捷键”*”把变量重定义为数组。

8.快捷键Ctrl+S，打开搜索类型选择对话框–>双击Strings，跳到字符串段–>菜单项“Search–>Text”；

9.快捷键Alt+T，打开文本搜索对话框，在String文本框中输入要搜索的字符串点击OK即可；

OpenSubviews窗口名称

快捷键NamesWindow

Shift+F4

FunctionsWindow

Shift+F3

StringsWindow

Shift+F12

Segments

Shift+F7

Segmentregisters

Shift+F8

Signatures

Shift+F5

Typelibraries

Shift+F11

Structures

Shift+F9

Enumerations

Shift+F10