前言
在逆向分析的过程中,如果一个静态链接文件被去除了函数签名,那么整个文件将会变得极其难以识别,我们很难通过手动去识别各个库函数。好在ida pro提供了利用模式识别方式进行识别的功能,使得我们可以很快速的得到很多函数的签名。
FLIRT
IDA拥有一个FLIRT技术,全称Fast Library Identification and Recognition Technology,即快速库识别和检测技术。这项技术的目的就是为了从文件中识别库函数,对于我们想要的这种情况来说非常适合。
文件创建即使用
FLIRT依赖于sig文件,sig文件需要通过一个工具来进行创建,ida一般会带有这个工具,叫做flair
。flair
通过先生成.pat
文件,即一个模式文件,然后通过sigmake
工具从.pat
文件里得到.sig
文件最终用于识别。
在flair的bin文件夹里的几个工具:
* pcf/pelf
用来得到.pat
文件,分别对应coff
文件和elf
文件,但是要求文件是静态链接的
* sigmake
用来从.pat
文件里提取得到.sig
文件
得到.sig
文件之后就可以应用到分析当中了,应用方法也很简单:
在ida中:file -> Load file -> flirt signature file
就可以应用