IDA动态调试

IDA动调基本知识

IDA(Interactive DisAssembler)是一款功能强大的逆向工程工具,它提供了丰富的动态调试功能,允许分析人员在程序运行时深入分析和调试二进制文件。以下是对IDA动态调试功能的详细介绍:

打开IDA并加载要调试的二进制文件或动态链接库(DLL)。

进入Debugger选项 点击select debugger

这里选择第三个 并且点击OK

重新进入Debugger选项

点击带有绿色三角符号的Start process即可开始调试程序

例题dynamic.exe

我们来写一个题目来练练手吧!

将exe文件拖入ida 进入主函数 F5查看伪c代码

在sub_14001129E(v7, 12i64, v8)处打断点

动调操作按照上面的做就可以 点击带有绿色三角符号的Start process开始调试程序

右击数据窗口,选择Synchronize with

当程序暂停在断点时,IDA的调试器窗口将更新以显示当前的程序状态,包括寄存器、内存、堆栈和调用堆栈等。Synchronize with就可以查看与寄存器同步的信息

或者这样也可以

点击RBP运行 得到flag

在刚开始接触这里我很疑惑为什么有那么多寄存器为什么要选择RBP 直到我去问了组长才知道为什么

通用寄存器:共有rax、rbx、rcx、rdx、rsi、rdi、rbp、rsp、r8、r9、r10、r11、r12、r13、r14、r15这16个寄存器,CPU对它们的用途没有做特殊规定,可以自定义其用途(其中rsp、rbp这两个寄存器有特殊用途)。

其中,rsp栈顶寄存器以及rbp栈基寄存器都和函数调用栈相关,其中rsp寄存器一般用来存放函数调用栈的栈顶在内存中的地址,rbp寄存器通常用来存放函数的栈帧在内存中的起始地址。

所以只能通过RBP或者RSP查看更多的信息

flag就找到了

我们也可以换X64dbg动态调试

X64dbg调试

关于x64dbg调试技巧我在另外一篇博客有介绍 这里不做赘述

http://t.csdnimg.cn/RwxQk

先查找可疑字符串

找到了和flag有关的字符串

双击进去

在00007FF69B251F04地址处下断点

F9多跑几次 发现flag

### IDA Pro 动态调试窗口介绍 #### 调试控制面板 在启动调试会话之后,最常用的界面之一是调试控制面板。此面板提供了对当前进程状态的基本操作按钮,如暂停、继续执行、单步步入、单步步过等功能[^1]。 #### 寄存器视图 寄存器视图展示了CPU内部各个寄存器的状态,在ARM架构下尤其重要的是PC(程序计数器)、LR(链接寄存器)等特殊寄存器的内容变化情况。这对于理解函数调用关系非常有帮助[^2]。 #### 堆栈窗口 堆栈窗口用于查看当前线程的调用链路以及局部变量的信息。当遇到复杂的应用逻辑时,通过观察堆栈可以更好地追踪到具体发生异常的位置。 #### 反汇编窗口 反汇编窗口是最核心的部分,它将二进制指令转换成人类可读的形式展示出来。对于Android应用来说,这里不仅能看到native层代码对应的汇编指令,还能看到Java字节码被翻译后的伪汇编码。 #### 数据窗口 数据窗口允许用户监视特定内存地址范围内的数值变动状况。这有助于分析应用程序如何处理和存储数据,尤其是在逆向工程过程中寻找关键算法实现细节方面具有重要作用。 #### Modules窗口 Modules窗口列出了加载到目标进程中所有的模块(DLLs, .so files),但在某些情况下可能因为保护机制而未能正确显示所有项。如果发现缺少预期中的`.dex`或`.so`文件,则可能是由于加壳或其他形式的安全措施所致。 ```bash adb shell am start -D -n 包名/主Activity ``` 上述命令可用于以调试模式启动指定的应用程序实例,以便于后续连接IDA进行深入研究。
评论 3
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值