使用IDA的调试器

一个小bug程序

这个小程序只是简单的计算了一下一组数据（1,2,3,4,5）的平均值。这组数据被保存在两个数组里，一个是8bit的数值，一个是32bit数值表示。

#include <stdio.h>

charchar_average(char array[],int count)

{

int i;

char average;

average = 0;

for (i = 0; i < count; i++)

average += array[i];

average /= count;

return average;

}

 

int int_average(int array[], int count)

{

int i,average;

average = 0;

for (i = 0; i < count; i++)

average += array[i];

average /= count;

return average;

}

 

voidmain(void)

{

char chars[]= { 1, 2, 3, 4, 5 };

int integers[]= { 1, 2, 3, 4, 5 };

printf("chars[] - average = %d\n",

char_average(chars, sizeof(chars)));

printf("integers[] - average = %d\n",

int_average(integers, sizeof(integers)));

}

运行它，我们得到如下结果：

chars[]- average = 3

integers[]- average = 1054228

可以看出在整数方式下计算的结果是错误的，我们用IDA的调试器来分析一下吧。

装入文件

调试器被完美的集成在IDA中，首先我们使用IDA装入文件，来生成数据库，用户可以使用反汇编功能，所有反汇编的信息，均可以在调试器中使用。如果反汇编的文件被调试器正确识别，调试器的菜单将自动出现在IDA的主窗口中。

指令断点

首先我们在反汇编窗口中找到int_average()这个函数，我们在程序前导部分（指程序开始的一些初始化等）的后面下断点，可以使用右键菜单中的AddBreakpoint的命令，或使用快捷键F2。

程序运行

现在我们开始执行这个程序。首先使用相应的图标打开调试器窗口，然后运行这个文件直到它到达断点，我们可以使用快捷键F9，或使用调试工具条上的Start按钮。

堆栈

IDA-ESP窗口现在列出了我们感兴趣的函数的堆栈结构，我们很容易就找到了函数int_average（）的整数数组参数，它指向了在main()的整数数组integers[]。

 

监视

我们可以添加监视，通过监视观察在程序执行过程中数据的变化

地址分析

通过分析汇编代码，我们可以知道计算累加和的循环所在，它将计算结果保存在EBX中，[EBX+EAX*4]明显的指明EBX是数组的开始地址，EAX是数组的索引，这样它就可以定位到数组中的每一项。

单步跟踪

让我们继续一步一步的跟踪这个循环。通过使用调试工具条上的按钮或用快捷键F8，有时，IDA会用绿箭头指示调转命令的调转方向和位置

 

找到Bug

现在让我们看一下ESI值，每轮循环时，EAX都要与ESI比较，我们可以判别ESI是循环总轮数，但我们也注意到ESI中有一个奇怪的数据14h(=20)，而我们的数组只有5个成员。我们已经找到问题所在了……

硬件断点

为了确认这个问题，我们使用硬件断点，就设在我们intergers这个数组最后一个成员的后面（事实上，就是在chars这个数组的第一个成员上）。如果我们在实行intergers的循环断到了这里，说明我们的循环读取了intergers这个数组之外的数据。我们在这里下硬件的4字节（一个整数的大小）访问断点。

正如我们猜测的，当我们继续运行，它确实执行了对chars数组的访问操作。注意，此时EIP执行导致硬件中断的后一条指令上。

堆栈跟踪

让我们看一下ESI来自有调用int_average()时传递来的参数，为什么调用的程序会传递过来这么奇怪的一个参数？我们看一下，所有调用函数的堆栈。我们单击一下main()，来到调用程序这里。通过IDA的PIT(参数识别技术)，我们看到push 20这条指令，是它将这个错误的参数传递到int_average()。

我们回过来看看我们的C代码，我们就明白了问题的所在，我们使用了sizeof这个函数，它返回了数组的字节数，而不是数组的成员数！

其它功能

IDA可以帮助你进入你所调试的进程内存空间的所有区段，在这些段内，你可以使用调试器的所有功能：可以在DLL中设置断点，可以绘制流程图，可以应用结构的数据类型等等。

对异常的处理也完全可以由使用者来决定。

有了调试器功能的IDA更加完美，你可以使用它的反汇编和调试器功能随时随地的进行静态分析和动态调试。