1625-5 王子昂 总结《2017年5月12日》 【连续第223天总结】
A. 加密与解密 IDApro
B. 动态分析技术是把程序加载到内存中然后进行调试
静态分析技术则是根据程序进行逆向,获得汇编代码或源代码,然后从程序清单上分析程序流程,了解模块完成的功能
高级语音编写的程序有两种形式,一种被编译成机器语言在CPU上执行,如Visual C++\Pascal等。由于机器语言和汇编语言几乎是对应的,因此可将机器语言转化成汇编语言,这个过程称为反汇编。另一种高级语言是一边解释一边执行的,称为解释型语言。这类语言的编译后程序可以被还原成源码,这个过程称为反编译。
静态分析的第一步就是分析程序的类型,了解程序的编写语言和加密状况。
PEiD是一款常用的文件检测分析工具,能检测大多数编译语言、病毒和加密的壳。
这类文件分析工具是利用查特征串搜索来完成识别工作的。各种开发语言都有固定的启动代码部分,利用这点就可以识别出语言。被加壳程序处理过的程序,在壳里会留下相关加壳软件信息,利用这点就可识别出是被何种壳加密的。
PEiE提供了一个扩展接口文件userdb.txt,用户可以自定义一些特征码,这样就可以识别出新的类型。
有些外壳程序为了欺骗这种文件识别软件,会将一些加壳信息去除,并伪造启动代码部分
反汇编引擎的作用是把机器码解析成汇编指令。常见的反汇编引擎有udis86,ade,xde等
IDA的配置
在Options中可以配置IDA,但这种配置只对当前项目有效
若想修改默认配置,则需要编辑ida.cfg文件
不能使用记事本,因为有些特殊字符识别不好,会造成文件损坏;应使用UltraEdit等工具
该文件由两部分组成:第一部分定义文件的扩展名、内存、屏幕等设置,第二部分配置普通参数,如代码显示格式,ASCII字符串显示格式
IDA有一个参考重命名功能,可以将所有函数参考命名一次改动
C. 明日计划
加密与解密 IDApro