利用ida pro的flare功能识别静态链接函数签名

前言

在逆向分析的过程中，如果一个静态链接文件被去除了函数签名，那么整个文件将会变得极其难以识别，我们很难通过手动去识别各个库函数。好在ida pro提供了利用模式识别方式进行识别的功能，使得我们可以很快速的得到很多函数的签名。

FLIRT

IDA拥有一个FLIRT技术，全称Fast Library Identification and Recognition Technology，即快速库识别和检测技术。这项技术的目的就是为了从文件中识别库函数，对于我们想要的这种情况来说非常适合。

文件创建即使用

FLIRT依赖于sig文件，sig文件需要通过一个工具来进行创建，ida一般会带有这个工具，叫做flair。flair通过先生成.pat文件，即一个模式文件，然后通过sigmake工具从.pat文件里得到.sig文件最终用于识别。

在flair的bin文件夹里的几个工具：
* pcf/pelf用来得到.pat文件，分别对应coff文件和elf文件，但是要求文件是静态链接的
* sigmake用来从.pat文件里提取得到.sig文件

得到.sig文件之后就可以应用到分析当中了，应用方法也很简单：
在ida中：file -> Load file -> flirt signature file就可以应用