IDA使用技巧随记

1，让IDA显示代码字节

菜单栏->Options->General->Disassembly->Display disassambly line parts->number ofo opcode bytes(non-graph)->填入每行显示的字节数即可；

效果如下如所示：

2，通过IDA中的偏移地址找到PE文件中偏移地址

步骤一

将界面跳转到汇编代码最开始的位置，记住这三个基数；
Imagebase = 0x10000000 //映射地址
Virtual address = 0x00001000 //虚拟内存地址
Offset to raw data for section: 0x00000400 //文件偏移地址

步骤二

找到任意一个你想要找的地址，设为src = 0x10001064;
设文件中对应代码字节的偏移为des;

步骤三

计算公式：src - Imagebase - Virtual address = des - Offset to raw data for section
计算原理：文件偏移与虚拟内存偏移一致；
代入公式：0x10001064 - 0x10000000 - 0x00001000 = des - 0x00000400
最后得到des = 0x00000464;
如下图所示，使用二进制形式打开PE文件，找到对应的代码字节；