IDA和readelf和objdump

IDA介绍

交互式反汇编器专业版

IDA快捷键

tab键: 可以在汇编之间来回切换(f5不能来回切换)
空格键: 可以来回切换反汇编
; : 分号和冒号是写注释
esc: 在反汇编窗口中使用为后退到上个操作的地址处
shift +F5：打开签名窗口
shift + F2: 打开代码运行窗口
shift+F12：显示字符串
ALT+T：搜索字符串(文本搜索)
ALT+L：标记(Lable)
ALT+M：设置标签(mark)
ALT+G：转换局部变量为结构体
ALT+Enter：跳转到新的窗口
Alt+B：快捷键用于搜索十六进制字节序列，通常在分析过程中可以用来搜索opcode
CTRL+M：列举出当前已经添加的标签
CTRL+S列举出二进制程序的段的开始地址、结束地址、权限等信息
F9：动态调试程序
F5：生成c语言伪代码
G：跳转到指定地址
N：对符号重命名
P：创建函数
T: 解析结构体偏移
M: 为枚举类型常量
Y: 设置变量类型
H: 转换16进制
C: 解析成代码
D: 解析成数据
A: 解析成ascll码字符串
U: 解析成未定义内容
(ctrl+x)X: 跳转到交叉引用它的地方

readelf介绍

readelf用于查看elf格式文件的相关信息,

readelf参数

常用的参数如下:

-a：显示所有信息
-h: 显示文件头信息
-l: 显示所有段(程序头)的信息
-S: 显示节头信息
-e: 显示所有头信息=>-h -l -S

-g: 显示节组信息
-t: 显示节的信息
-x section_name: 查看指定节hex信息
-p section_name: 查看指定节信息(以字符串的形式展开

-A: 显示CPU架构信息
-V: 显示版本段信息
-n: 显示note段信息
-s: 显示符号表段信息
-r: 查看重定位段信息
-u: 显示unwind段信息
-d: 显示动态段信息

objdump介绍

ojbdump可以显示一些二进制文件信息

objdump参数

--archive-headers 
-a 
显示档案库的成员信息,类似ls -l将lib*.a的信息列出。 

-b bfdname 
--target=bfdname 
指定目标码格式。这不是必须的，objdump能自动识别许多格式，比如： 

objdump -b oasys -m vax -h fu.o 
显示fu.o的头部摘要信息，明确指出该文件是Vax系统下用Oasys编译器生成的目标文件。objdump -i将给出这里可以指定的目标码格式列表。 

-C 
--demangle 
将底层的符号名解码成用户级名字，除了去掉所开头的下划线之外，还使得C++函数名以可理解的方式显示出来。 

--debugging 
-g 
显示调试信息。企图解析保存在文件中的调试信息并以C语言的语法显示出来。仅仅支持某些类型的调试信息。有些其他的格式被readelf -w支持。 

-e 
--debugging-tags 
类似-g选项，但是生成的信息是和ctags工具相兼容的格式。 

--disassemble 
-d 
从objfile中反汇编那些特定指令机器码的section。

-D 
--disassemble-all 
与 -d 类似，但反汇编所有section.

-EB 
-EL 
--endian={big|little} 
指定目标文件的小端。这个项将影响反汇编出来的指令。在反汇编的文件没描述小端信息的时候用。例如S-records. 


-f 
--file-headers 
显示objfile中每个文件的整体头部摘要信息。

-h 
--section-headers 
--headers 
显示目标文件各个section的头部摘要信息。  

-H 
--help 
简短的帮助信息。 

-i 
--info 
显示对于 -b 或者 -m 选项可用的架构和目标格式列表。 

-j name
--section=name 
仅仅显示指定名称为name的section的信息 

-l
--line-numbers 
用文件名和行号标注相应的目标代码，仅仅和-d、-D或者-r一起使用使用-ld和使用-d的区别不是很大，在源码级调试的时候有用，要求编译时使用了-g之类的调试编译选项。 

-m machine 
--architecture=machine 
指定反汇编目标文件时使用的架构，当待反汇编文件本身没描述架构信息的时候(比如S-records)，这个选项很有用。可以用-i选项列出这里能够指定的架构. 

--reloc 
-r 
显示文件的重定位入口。如果和-d或者-D一起使用，重定位部分以反汇编后的格式显示出来。 

--dynamic-reloc 
-R 
显示文件的动态重定位入口，仅仅对于动态目标文件意义，比如某些共享库。 

-s 
--full-contents 
显示指定section的完整内容。默认所有的非空section都会被显示。

-S 
--source 
尽可能反汇编出源代码，尤其当编译的时候指定了-g这种调试参数时，效果比较明显。隐含了-d参数。 

--show-raw-insn 
反汇编的时候，显示每条汇编指令对应的机器码，如不指定--prefix-addresses，这将是缺省选项。 

--no-show-raw-insn 
反汇编时，不显示汇编指令的机器码，如不指定--prefix-addresses，这将是缺省选项。 

--start-address=address 
从指定地址开始显示数据，该选项影响-d、-r和-s选项的输出。 

--stop-address=address 
显示数据直到指定地址为止，该项影响-d、-r和-s选项的输出。 

-t 
--syms 
显示文件的符号表入口。类似于nm -s提供的信息 


-T 
--dynamic-syms 
显示文件的动态符号表入口，仅仅对动态目标文件意义，比如某些共享库。它显示的信息类似于 nm -D|--dynamic 显示的信息。 

-V 
--version 
版本信息 

--all-headers 
-x 
显示所可用的头信息，包括符号表、重定位入口。-x 等价于-a -f -h -r -t 同时指定。 

-z 
--disassemble-zeroes 
一般反汇编输出将省略大块的零，该选项使得这些零块也被反汇编。