IDA工具各个功能总结

生成文件：保存后生成的文件

id0:二叉树数据库
id1:文件包含描述每个程序字节的标记

nam:包含IDA NAME窗口的数据库
til:本地数据库有关信息

 

导航带颜色

 

常用菜单

ESC键：后退键（避免在窗口标题栏使用，退出窗口）

 

绿色箭头为YES，红色箭头为NO，蓝色箭头为下一个立即执行的块，拖动线可以改变连接路径。恢复源图形，右键鼠标菜单，点击布局图表。

 

Ctrl键+鼠标，放大缩小视图

 

反汇编视图

与图标视图一一对应，通常打开两个视图分别对比工作，按住shift+;可以添加自己的注释。

 

NAME窗口

F：为重点查看函数，常规函数

L：为库函数(动态链接库)

A：字符串

I：系统导入函数（基本不用看）（粉色导航代）

Sub_XXXXXX         子函数
loc_xxxxxx              地址处指令
byte_xxxxxx            8位数据
word_xxxxxx           16位数据
dword_xxxxxx         32位数据
unk_xxxxxx             未知，unknow

 

字符串窗口

查找字符串对应的位置

 

十六进制窗口

同步反汇编窗口，更好的监视

 

输出函数窗口

唯一接口，输出的函数，和main一样

 

输入函数窗口

列出二进制导入的函数，系统导入的

 

函数窗口（看英文找功能函数）

识别所有函数名称

 

结构体窗口

查看结构体，双击进入结构体内部查看详细信息

 

枚举窗口

IDA自动识别枚举代码类型

 

类型库窗口

可看到克重头文件包含库

右键鼠标可以插入自己要的库

 

函数调用窗口

查看上层函数，本级函数级内部调用了些什么函数，与图表视图同步查看工作最好。

 

问题窗口（最少用到的窗口）

需要自己分析的问题

比如：未初始化的变量

 

 

导航条

蓝色为常用函数，双击进入导航函数内部，与图表结合使用。

g键：跳转地址

 

栈帧

1。先要保护现场
2。讲参数按照调用约定放在被运行栈帧上，这样这个栈帧的栈顶指针就会发生改变
3。如果有必要，调用函数会配置一个栈指针，保存调用方希望保持不变的内容（寄存器值）
4。被调用函数为它可能需要的任何局部变量发配空间，需要栈帧栈顶向上（-操作）开辟地方
5。被调用函数返回值存放在EAX或者存放在可以立即被调用到的地方
6。一旦函数完成其他操作，任何局部变量都释放了
7。调用地方如果重新获得控制权，删除再栈中开辟的空间（+操作）

8。完成“序言（3,4）”“过程（5,6）”“尾声（6,7）”

C的调用约定_cdecl(参数从右向左一次入栈)，清理方式：调用者清理（“老子”清理“儿子”）

   对于参数可变化的：printf("XXXXX");

VOID demo_cdecl(int w,int x,int y,int z)

asm
push w
push x
push y
push z
call demo(进入了函数，开始执行了。。。。。。)
add esp,16   4*sizeof(int)

 

标准调用_stdcall
VOID demo_stdcall(int w,int x,int y,int z)
push w
push x
push y
push z
call demo(进入了函数，开始执行了。。。。。。)
ret 16

 

快速调用_fastcall
VOID demo_fastcall(int w,int x,int y,int z)
前两个（ECX=W，edx=x）参数将被分配给ECX,EDX
剩下的都被按照_stdcall调用约定
ret 8

C++调用约定
使用this指针
VC提供了 thiscall调用，将this传递给而ecx
GC++中被当做静态，存放在栈顶

 

IDA搜索功能

1. 搜索数据库      
2. 文本搜索          ALT+T
3. 二进制搜索      ALT+B

 

重命名与局部变量

右键哑名可以重命名（Rename），改一处所有变量全部会跟着改变。快捷键点击哑名按n键，空格还原变量名。
arg_0（栈变量）
var_4（普通变量）
一个函数只能拥有一个arg_0

IDA的注释与代码转换

shift+; 对程序注释
右键鼠标常数转换对应进制常数

 

操作函数

删除函数：右键函数体（交叉引用）-> 编辑 -> 函数 -> 删除函数

编辑函数：右键函数体 -> 编辑函数（还有局部变量和寄存器保存功能）

 

字符与数据间的转换

函数 -> 编辑 -> 转换为代码（转换为数据）

  或者：左键点击函数体，按C转换代码，按D转换数据

改变数据大小，比如db改为dw：选项 -> 设置数据类型

字符串：db数据，以0为结尾。

（1）了解使用寄存器的方式，可以推断出数据类型的和、大小，如果一条指令从内存中加了一个32位的寄存器，相关的内存保存了一个4字节的类型

（2）函数原型分配参数数据类型，IDA维护一个庞大的函数原型，分析传递的参数类型，让他与某个内存的地址关联起来,CRITICAL_SECTION(Windows的数据类型)

（3）分析字节序列，知道肯能的数据类型，扫描2进制，知道字符串内容

name generation(命名生成)

转换数组：编辑 -> 转换为数组组合

 

IDA数据中数组元素的访问

全局：mov dword_21365c, 10

局部：mov  [ebp+var_c], 10

 

IDA中结构体与数据库

结构体界面，按insent健，起名字后OK，按d健插入数据（在按d为类型大小变换），在ends按a为插入字符串，右键菜单转换数据数组，按n健重命名，按u键删除字段，按delete删除结构体。

 

 

编辑 -> 结构体变量，在数据中转换为结构体。

alt+k ：堆结构体

 

分析头文件

文件 -> 加载文件 -> 分析 C 头文件

 

创建idc脚本

文件 -> 生成文件 -> 数据库转存为idc文件

 

C++逆向工程基础

ecx=this

class A:
{
  public:
   A();
   virtual void vfunc1()=0;
   virtual void vfunc2();
   virtual void vfun3();
   virtual void vfun4();
  private:
    (虚拟指针)
    int x;
    int y;
};

class B:public A
{
  public:
   B();
   virtual void vfunc1();
   virtual void vfunc2();
   virtual void vfunc5();
  private:
    int z;
};

void call_vfunc(A* a)
{

   a->vfun3();
}


int main()
{
   A *a_ptr =new B();
   call_vfunc(a_ptr);
}

B::vfunc3()



    push ebp
    mov  ebp,esp         //保存现场           
    mov eax,[ebp+10d]    //a_ptr       4个函数+虚拟指针指向虚函数表
    mov  edx,[eax]       //*a_ptr 1     将虚拟表指针内容放入edx
    mov ecx,[ebp+10d]    //*a_ptr      将虚拟表指针放入cx，继承作用
    mov eax,[edx+8]      //a->vfun3();2     0，4，8  取第三个函数也就是vfun8   a->vfun3();
    call eax             //3   call就是调用a->vfun3()

    // 2个可以简写为：mov eax,[edx+B_Vtable.vfunc3]

 

交叉引用

jmp：if跳转

call：函数调用

上箭头：引用出在上方

下箭头：引用处在下方

j: jmp

r: read     读数据区的某数据

w: weite  往某变量写数据

o: 偏移     offset引用

p: 调用子程序

详细：https://blog.csdn.net/hgy413/article/details/50594320

 

交叉引用列表与绘图

交叉应用附近，点击变量，右键跳转到交叉引用列表，或者按x

查看函数调用

 

按F12，查看最清晰的流程图

查看函数调用图