逆向中静态分析工具——IDA初学者笔记

//******************************************************************************
//IDA初学者笔记

//******************************************************************************
//作者：Cai
//日期：2011-10-18
//******************************************************************************

      本人作为一个初学者，尽量让本文也从一个初学者的角度讲一些比较适合的内容，对于高手而言，价值深浅就见笑了。

IDA打开一个Win32的EXE后，会出现一系列窗口，默认定位到“IDA View”窗口中的入口函数处，即VC程序的WinMain，

到这里，最重要最艰难的反编译工作已经被IDA这个工具完成了，但逆向工程，远不止这些。

接下来要来进行跟踪调试、修改 ，这就必须先学习如何使用这个IDA工具，不过同时进行也是最好的学习方法。

        在正式开始前，有2个实用的浏览快捷键需要记住，就是前进后退：

        前进：Ctrl+Enter

        后退：Esc

         当然也可以使用工具栏的按钮：，

         或菜单：

         提示：若工具栏没有按钮则在主菜单View-Toolbars-Jump勾上即可：

 

1.主要窗口介绍：

       IDA作为一个具有强大核心引擎和灵活辅助插件的组合型工具，有太多地方需要去研究熟悉的，但是学习是一个循序渐进、

由浅到深的过程，因此，本文从入眼就接触到的窗口开始介绍，应该是条正确的道路。

1）IDA View

         该窗口可通过View-Open subviews-Disassembly调出：

         该窗口有2种模式，一种是Text View，另一种是Graph View，2种大同小异， 关于两种浏览模式的转换，   可在右键菜单

中切换：

  ·Text View切换到Graph View：（注意：在 Text View中有时右键菜单不是这样的，这时换个有代码的位置点右键就可以了）

 ·GraphView切换到Text View：

 

以下采用比较通用的Text View为例来介绍，如下图： 

 

      主要是三个区域：地址区、OpCode区（操作码区）、反编译代码区

      A.地址区

             该处地址以PE文件加载到内存后的虚拟地址为准，即镜像基址+偏移地址，如例子的程序基址是0x00400000，

如图中.text:0048FEEC位置数据如下：

 

       该处地址是基址0x00400000 + 偏移地址8FEEC，假如我们使用WinHex打开查看，可以看到偏移地址8FEEC 处的数据

如下：

          可以看出，两处数据是相同的，因此在WinHex中修改 8FEEC 处的数据将会影响到IDA中.text:0048FEEC处的数据。

这里顺便转一下，虚拟内存空间地址表：

高2G空间 （Ring0级能访问区域） ：

0xFFFFFFFF-0xC0000000：1GB用于VxD、存储器管理和文件系统；

0xBFFFFFFF-0x80000000：1GB共享的WIN32 DLL、存储器映射文件和共享存储区；

低2G空间（Ring3权限区域）

0x7FFFFFFF-0x00400000：约2GB为每个进程的WIN32专用地址；

0x003FFFFF-0x00001000：为MS-DOS系统 和 WIN16应用程序；

0x00000FFF-0x00000000：为防止使用空指针的4,096字节；

同时顺便提醒一下，不管EXE或DLL基址都是可变的，但一个DLL加载到EXE后，基址会被重定向，但偏移地址是不变的；

而对于PE文件，PE头的长度并不是固定的，当然有着同样的解析标准，可也导致IDA中偏移地址-基址不一定等于文件地址，

判断代码在文件中的基址很容易，通常PE头在WinHex中可以清晰的看到“This program cannot be run in DOS.....”，之后就是

一些段名称：如.text，.rdata。接着就是一小段00，之后出现数据的地方就是代码基址，大部分是55 8B或56 8B等。

       B.OpCode区

          该区域默认不会显示出来，需要打开菜单Options-General，

           

          在“Disassembly”页中的“Display Disassembly  line parts”中，设置”Number of opcode bytes“，例子中设置 8，默认为0则不显示。

          

         OpCode区字面上看是操作码区的意思，当然这是一个以16进制字符显示二进制数据的形式，这样结合反编译代码会更具直观性，

但也使界面复杂化，仁者见仁。

          C.反编译代码区

          该区域是IDA的主要功能区域，具有很多特性，如相同字符串高亮、双击函数名或引用变量名可调整到对应的跳转地址等，这里功能快捷键繁多，留待以后慢慢学习熟悉。同样介绍几个快捷键：

          ·字符串搜索：             搜    索：Alt+T          下一个：Ctrl+T

          ·反编译为C代码：      在反汇编代码中按F5即可。

          D.跳转指引区

          该区域主要是显示一些跳转地址指引箭头，作用简单明了。

          

2）Hex View

        该窗口如下图所示，与一般的16进制编辑器类似。

          

         默认为只读状态，可使用快捷键F2对数据区域（绿色字符区域）在只读/编辑二种状态间切换，也可以使用patch program功能来编辑（后面会介绍该功能）。

 

3）其他窗体

    IDA的窗体均可在主菜单View-Open subviews中打开/关闭，其他如pseudocode为反编译C代码窗体、strings为程序字符串列表窗口，均为十分有用的辅助窗口，以后再慢慢介绍

 

 

附：

1.启用patch program（修改代码）菜单：

idagui.cgf中DISPLAY_PATCH_SUBMENU改为YES，即可将修改二进制代码的菜单，

当然修改代码的窗体中仍是以16进制字符显示，这个修改于Alt+F2不一样，可以将修改于原文件的不同地方保存到一个dif文件里。 

2.快捷键：

在IDA View中按F5可以生产C代码查看，  也可以将整个保存为C文件进行查看。

在Hex View中按F2可直接编辑16进制数据。

 

IDA显示字节机器码

菜单

Options >> General

Disassembly选项卡Number of opcode bytes写上非0,写1好像没啥用，只显示1位根本没用，16就差不多了