IDAPro使用技巧及大杂烩

载IDAPro使用技巧及大杂烩IDAPro基本简介IDA加载完程序后，3个立即可见的窗口分别为IDA-View，Named，和消息输出窗口(outputWindow)。默认为红色，蓝色表示默认下一个执行块。在寄存器窗口中显示着每个寄存器当前的值和对应在反汇编窗口中的内存地址。函数在进入时都会保存堆栈地址EBP选择菜单Debugger下的Startprocess(也可以按F9键)注意提防恶意程序、病毒和木马。AProIDA载New(新建)，Go(运行)，Previous(上一个)。选择File菜单下的Open，打开想要逆向的可执行文件，会显示一个Loadanewfile的界面。这里可以选择:1.程序的类型；2.处理器的类型；3.加载的段地址和偏移量；4.是否允许分析；5.一些加载选项；6.内核和处理器的一些选项；默认选择PE文件就可以，对于一些网络数据包或者其他格式的文件，可以使用二进制加载，自己进行解析。工作区有多个子窗口，IDAView-A是反汇编窗口，HexView-A是十六进制格式显示的窗口，Imports是导入表(程序中调用到的外面的函数)，Functions是函数表(这个程序中的函数)，Structures是结构，IDAview:定位要修改的代码段在哪里。Hexview:用来修改我们的数据exportswindow:导出窗口载importwindow:导入窗口nameswindow:函数和参数的命名列表functionswindow:样本的所有函数窗口stringswindow:字符串显示窗口，会列出程序中的所有字符串IDA很智能，鼠标移到某些标识符上会自动有适当的提示，双击还能自动跳到相应的位置。把一个函数逆向的方法很简单，只要按F5键就会出来逆向出的C语言程序了。A将IDA中间数据库打包，下次继续打开就可以进行分析；如果不需要继续分析，选择不要打包，不要存储数据库。BIDB由4个文件组成:后缀为id0的二叉树形式的数据库，后缀为id1的程序字节标识，载后缀为nam的Named窗口的索引信息，后缀为til的给定数据库的本地类型定义的相关信息。一旦IDA为某个可执行程序创建数据库，它本身就不再需要访问这个可执行文件，除非使用IDA的Debug功能。跳转指令分三类:无条件跳转:JMP;根据CX、ECX寄存器的值跳转:JCXZ(CX为0则跳转)、JECXZ(ECX为0则跳转);根据EFLAGS寄存器的标志位跳转,这个太多了.学Win32汇编[28]-跳转指令:JMP、JECXZ、JA、JB、JG、JL、JE、JZ、JS、JC、JO、JP等—MOVSXMOVZXMOVSXEAX,BYTEPTR[00401000]或MOVZXEAX,BYTEPTR[00401000]在C语言中应该如何表达啊?比如定义一个全局变量BYTEbt=101;DWORDdw;应该如何把bt赋值到dw中.并且功能与MOVSX/MOVZX相同?汇编语言与C语言的语言构件不同，并不是一定能转成完全对于以上代码，可以这样理解：movsx====>dw=(DWORD)((signedchar)(bt))载movzx====>dw=(DWORD)((unsignedchar)(bt))movzx是把高位全部用0填充，而movsx是把原来数的最0x00000065“11111110”它的最高位是1。xfffffff交叉参考通过交叉参考(XREF)可以知道指令代码互相调用的关系.如.text:00401165loc_401165:;CODEXREF:sub_401120+B|j载这句CODEXREF:sub_401120+B|j表示该调用地址是401120,“j”表示跳转(jump)“o”表示偏移值(offset)“p”表示子程序(procedure)双击这里或按回车键可以跳到调用该处的地方参考重命名:找到一段代码(一般为函数入口名),右键点击选择”Rename”可以将函数名称变成易懂的名称.标签的用法:在菜单”Jump”中选择”MarkPosition”将会打开标记当前位置功能,输入一个名称,在菜单”Jump/Jumptomarkedposition”中或按”Ctrl+M”键双击想要调转的载名称,便会到达制定的代码位置.进制的转换:选择快捷键的#可以转换进制,选择”Toggleleadingzeroes”功能是用0填补数据前的空位.cqd，为ConvertDoubletoQuad的缩写，意为将双字数该指令先把edx的每一位置成eax的最高位(若eax>=0x80000000,则edx=0xFFFFFFFF；若eax该指令常用于扩展被除数，很久前，指令集规定除数必须是被除数的一半长，这个规定一直被沿用。使用IDIV执行除法时，如果除数是32位，这就要求被除数是64位，即EDX:EAX，所以扩展一下EAX以满足除法指令的条件并且DIV和IDIVDIVs成两个无符号数相除。载IDIV是有符号数除法指令，完成两个有符号数相除。被除修改程序的指令或者数据，并进行保存如何修改数据在HexView窗口下，[S1]双击要修改的地方[S2]使用F2捷方式修改当前字节F如何改变执行流程IDAViewJumptoIPSetIP,Runto载cursor。保存修改使用下面的主菜单命令，直接把修改保存到输入文件中,即OD中右键-保存到文件-选择我的OD是这样的,只能修改一条,通过选择,保存一条重新载入再修改再保存.如何对DLL文件进行动态跟踪用[F2]在IDAView中当前代码行切换断点。使用[Debugger]->[Attachtoprocess]把当前二进制代码attach运行的进程中去。[F9]continue。载Cursor移到内存位置后双击就可以查看到具体内存中的值，右击快捷菜单[JumptoIP]项，可以回到你刚才指令的地方。IDAView中有很多行代码，可以使用[;]快捷键对当前行进为了观察具体指令的二进制表示你还需要[IDAView]->[右HexView会和你的IDAView中光标位置同步。在IDAView中为函数改名，用[N]快捷键。观察内存(变量)[Toolbar]->[Openthewatchlistriabletowatch如果作者混淆了二进制代码，你需要IDAView在频繁使用块为数据(Data)或代码(Code)。EAX是”累加器”(accumulator),它是很多加法乘法指令EBX是”基地址”(base)寄存器,在内存寻址时存放基地址。载ECX是计数器(counter),是重复(REP)前缀指令和LOOP指EDX则总是被用来放整数除法产生的余数。ESI/EDI分别叫做”源/目标索引寄存器”(source/destinationindex),因为在很多字符串操作指令中,DS:ESI指向源串,而ES:EDI指向目标串.EBP是”基址指针”(BASEPOINTER),它最经常被用作高级语言函数调用的”框架指针”(framepointer).在破解的时候,经常可以看见一个标准的函数起始代码:pushebp;保存当前ebpmovebp,esp;EBP设为当前堆栈指针subesp,xxx;预留xxx字节给函数临时变量.…这样一来,EBP构成了该函数的一个框架,在EBP上方分别是原来的EBP,返回地址和参数.EBP下方则是临时变量.函数返回时作movesp,ebp/popebp/ret即可.ESP专门用作堆栈指针，被形象地称为栈顶指针，堆栈的顶部是地址小的区域，压入堆栈的数据越多，ESP也就越来越汇编中的ASSUME经常用来将寄存器当作结构体指针来用ASSUMEedx:ptrSTRUCT;将edx定义为STRUCT指针变量把STRUCT结构体的起始地址给edxleaedx,STRUCT这个时候可以用[edx].调用STRUCT的字段ASSUMEedx:nothing;取消定义这个时候edx不是指针[edx].不能调用字段了如果是8086的那么将段REGASSUMEDS:(某个数据段)这样程序在使用这个数据段会用DS做段Code段是不能指定段REG的必须是CS:IP(EA)快捷键反汇编窗口有两种显示格式：面向文本的列表视图和图形视图。不同视图在不同的场景下各有所长，按空格键可以快速2.翻页esc和Ctrl+Enter当执行跳转功能后,需要返回时,只要在工具栏中点击或按”Ctrl+Enter”键.载3.注释“;”和”:”按;号输入的注释,所有交叉参考处都会出现,按:号键输入的注释只在该处出现5.使用[X]查看符号引用6.快捷键F5显示C伪代码SubViews]->[PseudocodeF5]菜单，说明你已经安装了载7.使用快捷键”*”把变量重定义为数组。快捷键Ctrl+S，打开搜索类型选择对话框–>双击9.快捷键Alt+T，打开文本搜索对话框，在String文本框中输入要搜索的字符串点击O