IDA Pro基本使用

IDA Pro基本使用

1.DllMain的地址是什么?

打开默认在的位置1000D02E就是DllMain地址

按空格键可以看到图形化界面选择options、general勾选对应的选项在图像化也能看到

2.使用Imports 窗口并浏览到 gethostbyname，导入函数定位到什么地址?

这里可以打开Imports 窗口

默认已经打开 找到对应的函数gethostbyname

双击进去可以看到对应的地址 idata:100163CC

3.有多少函数调用了gethostbyname?

点击函数位置快捷键ctrl+x打开 其中type为p的为调用函数一共5个不同函数调用

4.将精力集中在位于0x10001757处的对 gethostbyname 的调用,你能找出哪个 DNS请求将被触？

按G键跳转到对应的位置0x10001757

函数调用前将eax参数push进栈，而pics.praticalmalwareanalys是对应的内容
add eax,0dh,是跳过前面[This is RDO]部分，将指针指向pics.praticalmalwareanalys

5&6.IDA Pro 识别了在 0x10001656处的子过程中的多少个局部变量和参数

跳转到对应位置，往上看，发现一共有23个局部变量，1个参数

7.使用 Strings 窗口，来在反汇编中定位字符串\cmd.exe /c。它位于哪?

在String窗口找到对应字符串\cmd.exe /c

双击找到对应的位置为xdoors_d:10095B34