IDA 远程调试

从4.8版开始, IDA 支持远程调试.
在网络连通的情况下, 远程调试可以使一台计算机调试另外一台计算机上运行的程序。
运行IDA的计算机称为 "调试客户机".
运行被调试进程的计算机称为 "调试服务器".

我们可以利用远程调试来研究有破坏性的文件, 例如病毒,木马等,或分布式应用程序.
步骤1:
把 IDA 目录中的 win32_remote.exe 拷贝到被调试服务器.  这个程序在指定的端口上监听, 接收调试客户机的连接, 执行调试客户机发送来的命令并返回结果信息。
(了解 win32_remote.exe 用法 ， 用 /? 来获得)

步骤2:
把被调试的应用程序拷贝到调试服务器。假设应用程序是 main.exe ，拷贝到调试服务器的 C:/Main.exe 路径。

步骤3:
在调试客户机上运行 IDA, 进行下面设置

 

选择 菜单项 "Debugger" --"Run"--"Remote Windows debugger"  也可以 Attach 到 "Remote Windows Debugger". 出现下面窗口:

这里指定的Application 和 Directory 是调试服务器上被调试程序的路径。前面的步骤中我们把应用程序拷贝到了 "C:/Main.exe", 所以这里设置 "C:/Main.exe"。

HostName 是调试服务器的地址.

23946 是调试服务器监听的端口号,这是默认值, 你可以使用 -p Port 来改变调试服务器的监听端口号。

点击 "OK" 即可.

实现方法其实很简单,  就是本地调试客户机给调试服务器发送命令, 然后接收结果信息并显示的过程。