IDA Pro使用技巧及大杂烩

最新推荐文章于 2024-06-24 19:15:41 发布
最新推荐文章于 2024-06-24 19:15:41 发布
阅读量7.7w 收藏 193
点赞数 47
文章标签： 汇编 IDA-Pro

IDA Pro基本简介
IDA加载完程序后，3个立即可见的窗口分别为IDA-View，Named，和消息输出窗口(output Window)。


这里写图片描述

IDA图形视图会有执行流，Yes箭头默认为绿色，No箭头默认为红色，蓝色表示默认下一个执行块。

在寄存器窗口中显示着每个寄存器当前的值和对应在反汇编窗口中的内存地址。函数在进入时都会保存堆栈地址EBP和ESP，退出函数时恢复。

选择菜单Debugger下的Start process（也可以按F9键）来开始调试。调试会让程序在电脑中执行，所以IDA会提示注意提防恶意程序、病毒和木马。


这里写图片描述

打开IDA Pro 6.5，为进入IDA界面提供三种选项，分别是New（新建），Go（运行），Previous（上一个）。


这里写图片描述

选择File菜单下的Open，打开想要逆向的可执行文件，会显示一个Load a new file的界面。这里可以选择:
1. 程序的类型；
2. 处理器的类型；
3. 加载的段地址和偏移量；
4. 是否允许分析；
5. 一些加载选项；
6. 内核和处理器的一些选项；
7. windows系统dll所在的目录。


这里写图片描述

默认选择PE文件就可以，对于一些网络数据包或者其他格式的文件，可以使用二进制加载，自己进行解析。

工作区有多个子窗口，

  • IDA View-A是反汇编窗口，
  • HexView-A是十六进制格式显示的窗口，
  • Imports是导入表（程序中调用到的外面的函数），
  • Functions是函数表（这个程序中的函数），
  • Structures是结构，
  • Enums是枚举。

IDA view: 定位要修改的代码段在哪里。
Hex view: 用来修改我们的数据
exports window: 导出窗口
import window: 导入窗口
names window: 函数和参数的命名列表
functions window: 样本的所有函数窗口
strings window: 字符串显示窗口，会列出程序中的所有字符串


这里写图片描述

IDA很智能，鼠标移到某些标识符上会自动有适当的提示，双击还能自动跳到相应的位置。把一个函数逆向的方法很简单，只要按F5键就会出来逆向出的C语言程序了。

退出IDA时，会进行文件保存确认，如果需要继续进行分析，将IDA中间数据库打包，下次继续打开就可以进行分析；如果不需要继续分析，选择不要打包，不要存储数据库。

IDA打开应用程序时，会为其创建一个数据库，后缀为IDB。IDB由4个文件组成:

  • 后缀为id0的二叉树形式的数据库，
  • 后缀为id1的程序字节标识，
  • 后缀为nam的Named窗口的索引信息，
  • 后缀为til的给定数据库的本地类型定义的相关信息。

    这里写图片描述

一旦IDA为某个可执行程序创建数据库，它本身就不再需要访问这个可执行文件，除非使用IDA的Debug功能。

跳转指令分三类:

  • 无条件跳转: JMP;
  • 根据 CX、ECX 寄存器的值跳转: JCXZ(CX 为 0 则跳转)、JECXZ(ECX 为 0 则跳转);
  • 根据 EFLAGS 寄存器的标志位跳转, 这个太多了.

学 Win32 汇编[28] - 跳转指令: JMP、JECXZ、JA、JB、JG、JL、JE、JZ、JS、JC、JO、JP 等

— MOVSX MOVZX
比如
MOVSX EAX, BYTE PTR [00401000]
或
MOVZX EAX, BYTE PTR [00401000]
在C语言中应该如何表达啊?
比如定义一个全局变量
BYTE bt = 101;
DWORD dw;
应该如何把bt赋值到dw中. 并且功能与MOVSX/MOVZX相同?
汇编语言与C语言的语言构件不同，并不是一定能转成完全等价的C语言的代码的。
对于以上代码，可以这样理解：
movsx ====> dw = (DWORD) ( (signed char) (bt) )
movzx ====> dw = (DWORD) ( (unsigned char) (bt) )
movzx是把高位全部用0填充，而movsx是把原来数的最高位扩展成超出的位。
对于bt=101，也就是0x65，八位二进制是“01100101”，因为它的最高位是0，因此这两种情况，dw都等于0x00000065

换一个，比如bt=247，也就是0xF7，八位二进制是“11111110”它的最高位是1。
经过movsx变换后，dw等于0xfffffff7；
而经过movzx变换后，dw等于0x000000f7

交叉参考
通过交叉参考(XREF)可以知道指令代码互相调用的关系.如下:
.text:00401165 loc_401165: ;CODE XREF:sub_401120+B|j
这句CODE XREF:sub_401120+B|j 表示该调用地址是401120,
“j”表示跳转(jump)
“o”表示偏移值(offset)
“p”表示子程序(procedure)
双击这里或按回车键可以跳到调用该处的地方

参考重命名:
找到一段代码(一般为函数入口名),右键点击选择”Rename”可以将函数名称变成易懂的名称.

标签的用法:
在菜单”Jump”中选择”Mark Position” 将会打开 标记当前位置功能,输入一个名称, 在菜单”Jump/Jump to marked position” 中或按”Ctrl+M”键双击想要调转的名称,便会到达制定的代码位置.

进制的转换:
选择快捷键的#可以转换进制,选择”Toggle leading zeroes”功能是用0填补数据前的空位.

cqd，为Convert Double to Quad的缩写，意为将双字数据扩展为四字。

该指令先把edx的每一位置成eax的最高位（若eax>=0x80000000, 则edx=0xFFFFFFFF；若eax<0x80000000，则edx=0x00000000） ，再把edx扩展为eax的高位。

该指令常用于扩展被除数，很久前，指令集规定除数必须是被除数的一半长，这个规定一直被沿用。使用IDIV执行除法时，如果除数是32位，这就要求被除数是64位，即EDX:EAX，所以扩展一下EAX以满足除法指令的条件并且得到正确的结果。

DIV 和IDIV
DIV和IDIV两个都是算术除法操作指令。DIV是无符号数除法 DIV s ;完成两个无符号数相除。
IDIV 是有符号数除法指令，完成两个有符号数相除。被除数、商、除数、余数存放位置及对s的规定与DIV指令相同。


这里写图片描述

修改程序的指令或者数据，并进行保存
如何修改数据

在Hex View窗口下，
[S1]双击要修改的地方
[S2]使用F2捷方式修改当前字节
[S3]再按下F2快捷方式应用修改。

如何改变执行流程
[1]修改跳转指令。
[2]修改内存数据。
[3]IDA View中使用下面的命令Jump to IP,Set IP, Run to cursor。
保存修改
使用下面的主菜单命令，直接把修改保存到输入文件中,即可。
[IDA Main Menu]->[Edit]->[PatchProgram]->[Apply patches to input file…]。

OD中右键-保存到文件-选择
我的OD是这样的,只能修改一条,通过选择,保存一条重新载入再修改再保存.

如何对DLL文件进行动态跟踪

  • 用[F2]在IDA View中当前代码行切换断点。
  • 启动装载DLL的EXE文件。
  • 使用[Debugger]->[Attach toprocess]把当前二进制代码attach到正在运行的进程中去。
  • 现在应该进入断点。[F7]Stepinto。[F8]Stepover。[F9]continue。
  • Cursor移到内存位置后双击就可以查看到具体内存中的值，右击快捷菜单[Jumpto IP]项，可以回到你刚才指令的地方。
  • IDA View中有很多行代码，可以使用[;]快捷键对当前行进行注释。
  • 为了观察具体指令的二进制表示你还需要[IDAView]->[右击快捷菜单]->[Synchronize with]->[Hex View 1]这样Hex View会和你的IDA View中光标位置同步。
  • 在IDA View中为函数改名，用[N]快捷键。
  • 观察内存（变量）[Tool bar]->[Open the watch list window],[Toolbar]->[Add a variable towatch]。
  • 如果作者混淆了二进制代码，你需要IDAView在频繁使用[D]ata快捷键，[C]ode快捷键，强制IDA，解析指定数据块为数据(Data)或代码(Code)。

这些32位寄存器有多种用途，但每一个都有“专长”，有各自的特别之处。

EAX 是”累加器”(accumulator), 它是很多加法乘法指令的缺省寄存器。
EBX 是”基地址”(base)寄存器, 在内存寻址时存放基地址。
ECX 是计数器(counter), 是重复(REP)前缀指令和LOOP指令的内定计数器。
EDX 则总是被用来放整数除法产生的余数。
ESI/EDI 分别叫做”源/目标索引寄存器”(source/destination index),因为在很多字符串操作指令中, DS:ESI指向源串,而ES:EDI指向目标串.
EBP 是”基址指针”(BASE POINTER), 它最经常被用作高级语言函数调用的”框架指针”(frame pointer). 在破解的时候,经常可以看见一个标准的函数起始代码:
　push ebp ; 保存当前ebp
　　mov ebp,esp ; EBP设为当前堆栈指针
　　sub esp, xxx ; 预留xxx字节给函数临时变量.
　　…
　　
这样一来,EBP 构成了该函数的一个框架, 在EBP上方分别是原来的EBP, 返回地址和参数. EBP下方则是临时变量. 函数返回时作 mov esp,ebp/pop ebp/ret 即可.
ESP 专门用作堆栈指针，被形象地称为栈顶指针，堆栈的顶部是地址小的区域，压入堆栈的数据越多，ESP也就越来越小。在32位平台上，ESP每次减少4字节。

汇编中的ASSUME
经常用来将寄存器当作结构体指针来用
ASSUME edx:ptr STRUCT ;
将edx 定义为STRUCT指针变量把STRUCT结构体的起始地址给edx

lea edx, STRUCT
这个时候可以用 [edx].调用STRUCT的字段
ASSUME edx:nothing ;
取消定义 这个时候edx 不是指针
[edx].不能调用字段了

如果是8086的那么将段REG ASSUME DS:(某个数据段)
这样程序在使用这个数据段会用DS做段
Code段是不能指定段REG的 必须是CS:IP(EA)

快捷键
1. 按空格键切换反汇编窗口(列表视图《=====》图形视图)
反汇编窗口有两种显示格式：面向文本的列表视图和图形视图。不同视图在不同的场景下各有所长，按空格键可以快速切换。
2. 翻页 esc 和 Ctrl+Enter
当执行跳转功能后,需要返回时,只要在工具栏中点击 <- 或按Esc键,列表便会往后跳一页;
若要往前一页,点击 -> 或按”Ctrl+Enter”键.
3. 注释 “;”和”:”
按;号输入的注释,所有交叉参考处都会出现,
按:号键输入的注释只在该处出现
4. 使用小键盘“-”，“+”查看函数之间的关系
IDAView下使用小键盘“-”，“+”快捷方式可以在代码同关系图之间切换。
5. 使用[X]查看符号引用
IDA View下使用[X]快捷方式，定位引用了当前符号的代码。
6. 快捷键F5显示C伪代码
如果有[Main menu]->[View]->[Open SubViews]->[Pseudocode F5]菜单，说明你已经安装了Hex Rays decompiler插件，可以在查看汇编的时候，按[F5]打开伪代码子窗口。
7. 使用快捷键”*”把变量重定义为数组。
8. 快捷键Ctrl+S，打开搜索类型选择对话框–>双击Strings，跳到字符串段–>菜单项“Search–>Text”；
9. 快捷键Alt+T，打开文本搜索对话框，在String文本框中输入要搜索的字符串点击OK即可；

Open Subviews

窗口名称快捷键
Names WindowShift+F4
Functions WindowShift+F3
Strings WindowShift+F12
SegmentsShift+F7
Segment registersShift+F8
SignaturesShift+F5
Type librariesShift+F11
StructuresShift+F9
EnumerationsShift+F10

Data Format Options

窗口名称快捷键备注
ASCII strings styleAlt+A
Setup data typesAlt+D

File Operations

窗口名称快捷键备注
Parse C header fileCtrl+F9
Create ASM fileAlt+F10
Save databaseCtrl+W

Navigation

窗口名称快捷键备注
Jump to operandEnter
Jump in new windowAlt+Enter
Jump to previous positionEsc
Jump to next positionCtrl+Enter
Jump to addressG
Jump by nameCtrl+L
Jump to functionCtrl+P
Jump to segmentCtrl+S
Jump to segment registerCtrl+G
Jump to problemCtrl+Q
Jump to cross referenceCtrl+X
Jump to xref to operandX
Jump to entry pointCtrl+E
Mark PositionAlt+M
Jump to marked positionCtrl+M

Debugger

窗口名称快捷键备注
Start processF9
Terminate processCtrl+F2
Step intoF7
Step overF8
Run until returnCtrl+F7
Run to cursorF4

Breakpoints

窗口名称快捷键备注
Breakpoint listCtrl+Alt+B

Watches

窗口名称快捷键备注
Delete watchDel

Tracing

窗口名称快捷键备注
Stack traceCtrl+Alt+S

Search

窗口名称快捷键备注
Next codeAlt+C
Next dataCtrl+D
Next exploredCtrl+A
Next unexploredCtrl+U
Immediate valueAlt+I
Next immediate valueCtrl+I
TextAlt+T
Next textCtrl+T
Sequence of bytesAlt+B
Next sequence of bytesCtrl+B
Not functionAlt+U
Next voidCtrl+V
Error operandCtrl+F

Graphing

窗口名称快捷键备注
Flow chartF12
Function callsCtrl+F12

Miscellaneous

窗口名称快捷键备注
Calculator?
Cycle through open viewsCtrl+Tab
Select tabAlt + [1…N]
Close current viewCtrl+F4
ExitAlt+X
IDC CommandShift+F2

Edit (Data Types – etc)

窗口名称快捷键备注
CopyCtrl+Ins
Begin selectionAlt+L
Manual instructionAlt+F2
CodeC
DataD
Struct variableAlt+Q
ASCII stringA
ArrayNum *
UndefineU
RenameN

Operand Type

窗口名称快捷键备注
Offset (data segment)O
Offset (current segment)Ctrl+O
Offset by (any segment)Alt+R
Offset (user-defined)Ctrl+R
Offset (struct)T
Number (default)#
HexadecimalQ
DecimalH
BinaryB
CharacterR
SegmentS
Enum memberM
Stack variableK
Change signUnderscore (_)
Bitwise negate~
Manual_ Alt+F1

Comments

窗口名称快捷键备注
Enter comment:
Enter repeatable comment;
Enter anterior linesIns
Enter posterior linesShift+Ins
Insert predefined commentShift+F1

Segments

窗口名称快捷键备注
Edit segmentAlt+S
Change segment register valueAlt+G

Structs

窗口名称快捷键备注
Struct varAlt+Q
Force zero offset fieldCtrl+Z
Select union memberAlt+Y

Functions

窗口名称快捷键备注
Create functionP
Edit functionAlt+P
Set function endE
Stack variablesCtrl+K
Change stack pointerAlt+K
Rename registerV
Set function typeY

Note:
1. IDA不提供撤销功能，如果不小心按下某键，导致IDB数据库文件发生意外，是无法进行回退操作的。

PEID
扫描模式编辑
●正常扫描模式：可在PE文档的入口点扫描所有记录的签名；
●深度扫描模式：可深入扫描所有记录的签名，这种模式要比上一种的扫描范围更广、更深入；
●核心扫描模式：可完整地扫描整个PE文档，建议将此模式作为最后的选择。PEiD内置有差错控制的技术，所以一般能确保扫描结果的准确性。前两种扫描模式几乎在瞬间就可得到结果，最后一种有点慢，原因显而易见。

REFERENCE

  1. IDA使用初探-1.启动IDA
  2. OD和IDA快捷键
  3. movsx 和movzx
  4. IDIV
  5. 汇编语言里 eax, ebx, ecx, edx, esi, edi, ebp, esp这些都是什么意思啊？
  6. 汇编中的ASSUME
  7. IDA快捷键
  8. PEID
往事也加
关注
  • 47
    点赞
  • 踩
  • 193
    收藏
    觉得还不错? 一键收藏
  • 5
    评论
C/C++汇编学习（二）——学习使用IDA pro
Bobowen的博客
01-03 1230
学习使用IDA Pro是一项很有价值的技能，特别是对于那些对逆向工程和软件安全分析感兴趣的人。以下是一些基本步骤和概念，帮助你熟悉IDA Pro的界面和操作。
IDA Pro 教程集合
11-09
内含： 1. 使用IDA调试和反汇编受保护的PE文件 2. 使用IDA分析高级数据结构 3. IDA图形工具 4. IDA调试器跟踪功能 5. IDA利用IDC分析加密代码 6. IDA教程-隐藏IDA调试器 7. IDA教程-脚本化调试器 8. IDA教程-WinCE ARM调试器入门教程 9. IDA的远程调试 10. IDA的通用解压插件使用和原理 11. IDA数据分析简易教程
IDA Pro使用技巧_ida的数据窗口怎么打开
最新发布
2401_84253894的博客
06-24 927
rwo。
IDA Pro基本简介
weixin_33711641的博客
11-20 2433
  IDA Pro基本简介 IDA加载完程序后，3个立即可见的窗口分别为IDA-View，Named，和消息输出窗口(output Window)。     IDA图形视图会有执行流，Yes箭头默认为绿色，No箭头默认为红色，蓝色表示默认下一个执行块。 在寄存器窗口中显示着每个寄存器当前的值和对应在反汇编窗口中的内存地址。函数在进入时都会保存堆栈地址EBP和ESP，退出函数时恢...
IDA pro简单入门使用
秀玉轩晨的博客
11-14 3320
这里写目录标题IDA常用的快捷键菜单栏常用设置三级目录 IDA常用的快捷键 a:将数据转换为字符串 u undefined,取消定义函数,代码,数据的定义 f5: 一键反汇编 esc:回退键,能够倒回上一步操作的视图(只在反汇编窗口才是这个作用,如果是在其他窗口按下esc,会关闭该窗口) shift+f12可以打开string窗口,一键找出所有的字符串,右击setup还能够对窗口的属性进行设置 ctrl+w保存IDA数据库 ctrl+s选择某个数据段,直接将进行跳转 ctrl + 鼠标滚轮 能够调节流程视
[笔记]逆向工具IDA Pro之简单使用
二次元怪兽的博客
05-21 3592
文章目录前言总结 前言 总结
IDA Pro 反汇编器使用详解，适合逆向新人和老人的权威指南（一）
热门推荐
Sciurdae的博客
10-08 1万+
IDA Pro 反汇编器使用详解，适合逆向新人和老人的权威指南（一）
《IDApro权威指南》个人学习笔记
10-11
IDApro有一个活跃的社区论坛，提供了大量的资源和信息，包括IDApro的使用指南、插件开发、反汇编技巧等。 IDA 插件搜集 IDApro插件搜集提供了大量的IDA插件，包括代码优化、代码生成、代码分析等插件。这些插件...
IDA pro逆向工具的使用以及逆向分析程序实例操作
04-18
内容概要：（ppt，源码，程序）密码是idapro 1.逆向工程介绍，IDA页面简单介绍，开发和逆向的对比 2.如何定位MAIN函数，修改逻辑跳转指令案例 3.加密编码算法 包括base64变表编码和简单异或加密解密案例并带有加解密...
IDA-SIG_idapro_
09-30
Collectoin of IDA Pro sig file
idapro.docset
07-05
根据ida pro帮助文件制作的docset文件，dash等可以使用，根据ida pro帮助文件制作的docset文件，dash等可以使用
IDA使用教程
03-16
IDA使用教程 IDA一日速成记。
IDA Pro 5.5 带 F5 插件
05-22
IDA Pro 5.5 EXE/DLL文件反编译工具，自带F5插件，带破解工具，有说明文件
IDA pro7.5+使用教程大全(助力安卓so层逆向篇)
云霄IT的博客
07-28 3132
【代码】IDA pro7.5+使用教程大全(助力安卓so层逆向篇)
零基础IDAPro的基本使用
weixin_51758733的博客
05-21 4211
零基础IDAPro的基本使用
让你IDA Pro 快速上手使用
Y_peak的博客
02-10 463
让你IDA Pro 快速上手使用 写这篇博文主要是在打pwn的时候,有时候在IDA中想要寻找信息，自己不会IDA Pro的使用。只能一个一个查找太费时间和人力,寻找相关书籍和博客做了一些适合新手的笔记。如有补充欢迎评论 (ps:主要针对打pwn的时候的一些操作) F5 作用: 反汇编 Ctrl + F 作用: 筛选函数 shift + F12 作用: 查找字符串 空格 作用: 控制流图和文本界面反汇编切换 ...
反汇编IDA之路1（IDA pro 学习）
ask_man的专栏
06-13 1023
1：为何反汇编 分析恶意软件 分析闭源软件的漏洞
跟着王哥学逆向——工具篇(IDA Pro)
qq_52642385的博客
01-16 1万+
交互式反汇编器专业版（Interactive Disassembler Professional）常称为 IDA Pro。IDA 是一种递归下降反汇编器，是个逆向分析的神器之一，可以分析x86、x64、ARM、MIPS、Java、.NET等众多平台的程序代码，是安全分析人士不可缺少的利器！IDA是Hex-Rays公司的旗舰产品，公司位于比利时，能写出这种软件的人都是超级大牛。这里以BUUCTF里面一道easyre题来展开对IDA的使用说明IDA的主窗口就如下图所示。
IDA Pro使用技巧_ida的数据窗口怎么打开，开发岗面试自我介绍
m0_61331573的博客
04-05 1251
本人从事网路安全工作12年，曾在2个大厂工作过，安全服务、售后服务、售前、攻防比赛、安全讲师、销售经理等职位都做过，对这个行业了解比较全面。最近遍览了各种网络安全类的文章，内容参差不齐，其中不伐有大佬倾力教学，也有各种不良机构浑水摸鱼，在收到几条私信，发现大家对一套完整的系统的网络安全从学习路线到学习资料，甚至是工具有着不小的需求。最后，我将这部分内容融会贯通成了一套282G的网络安全资料包，所有类目条理清晰，知识点层层递进，需要的小伙伴可以点击下方小卡片领取哦！
iDA Pro使用教程
05-04
iDA Pro 是一款非常强大的反汇编工具，它可以帮助用户对二进制程序进行反汇编、分析和修改。下面是使用 iDA Pro 的一些基本步骤和技巧。 1. 安装 iDA Pro 首先，你需要从 iDA Pro 官网（https://www.hex-rays.com/products/ida/）下载并安装该软件。iDA Pro 有免费版和付费版，免费版的功能相对较弱，付费版则功能更加完善。安装完成后，你可以打开 iDA Pro，开始使用它的功能。 2. 打开二进制文件 在 iDA Pro 中，你需要打开一个二进制文件，才能进行反汇编和分析。你可以通过菜单栏的“File”选项来打开一个二进制文件。iDA Pro 支持多种不同的文件格式，例如 ELF、PE、Mach-O 等。选择正确的文件格式很重要，否则会导致反汇编失败。 3. 分析程序结构 在打开一个二进制文件后，iDA Pro 会自动对程序进行反汇编，并展示反汇编结果。你可以在左侧的“Functions”窗口中查看程序中的函数列表，或者在右侧的“Disassembly”窗口中查看反汇编代码。iDA Pro 还支持对程序的控制流进行分析，你可以通过菜单栏的“View”选项来查看程序的控制流图。 4. 查找漏洞 通过分析程序结构，你可以尝试查找程序中的漏洞。例如，你可以查看程序中的函数调用和内存访问，寻找可能存在的缓冲区溢出、格式化字符串漏洞等。iDA Pro 还支持对程序中的字符串和常量进行搜索，你可以利用这个功能来查找可能存在的敏感信息、密码等。 5. 编辑程序 在查找漏洞后，你可能需要修改程序来修复漏洞或者实现其他目的。iDA Pro 支持对程序进行编辑，你可以在右侧的“Disassembly”窗口中直接修改反汇编代码，或者使用 iDA Pro 提供的高级编辑功能来修改程序。注意，修改程序可能会导致程序的崩溃或者其他不可预测的结果，所以一定要谨慎操作。 以上是使用 iDA Pro 的一些基本步骤和技巧。iDA Pro 是一款非常强大的工具，可以帮助你分析和修改二进制程序，但需要一定的反汇编和程序分析经验。
评论 5
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值