工具使用-IDA从入门到理解

2022年5月16日电脑软件评论19,071字数 4680阅读15分36秒阅读模式

作者ID:leishi-yanmu

IDA对于各位师傅应该无需简介了,如果写的不对的地方,还望师傅们多多包涵。讲解的时候会涉及到笔者在学习和使用时候的理解。

启动界面介绍:

img

这里选择Go键,打开以后:

img

把我们要分析的文件拖到IDA即可。

img

这里按我们的默认选项点击OK即可。选择中可能需要理解的为:

Manual Load:基地址重定向,并且可以显示PE头部信息,比如我们在一些病毒调试的时候,修复IAT时候可能用到,不过在进入界面以后里面也可以设定的。

关闭界面介绍:

当我们打开的时候我们会发现,在这个文件下面多了几个数据库文件,这些都是当前IDA程序自己要用的文件。

这些文件一般涉及在我们要调试完,关闭IDA时候的选择。

img

关闭时候会出现这几个选项:

第一个选项:就是不打包数据包文件,那么这些数据库文件就会分开这放。

第二个选项及图中选项:就是把这几个数据库文件打包为1个(如。i64文件),下次打开我们分析的文件的时候,打开这个文件即可。

第三个选项:不会删掉数据库文件,而是打包压缩到存储的文件里面去了。

下面两个选项

第一个选项:回收垃圾,如果打包文件太大了,可以选用这个选项,清理不必要的内存

最后一个选项:当分析时候写错了,选中最后一个,最后一次打开的操作不保留了。(解决错误操作)

IDA的窗口和界面介绍:

img

首先,我们可以在view-open subviews打开各种类型的窗口:

img

img

当我们第一次打开IDA,会显示这样的视图。

大窗口是流程图(ctrl+滑动滚轮=变大|变小),可以看到明显的条件判断,红色为条件为false,绿色条件为true。

蓝色为无条件跳转。

图中以incaseformat为例,这样更方便我们理解上下逻辑。

比如这里可以上面顺腾摸瓜的发现了,fileexists,病毒自身判断自己是否存在的行为。

按下space(空格键),会进入文本结构的界面。

img

img

img

这里我们可以根据地址颜色来分辨这个位置的数据类型(就是前面.text:00xxxxxx)

黄色:未定义数据类型

黑色:代码

灰色:数据

 

跳转表示:

虚线:条件跳转

实线:无条件跳转

 

颜色须知:

在IDA自动把识别的API标为红色

在病毒分析时候我们会看到调用各种API

windows API查询网址:

https://docs.microsoft.com/zh-cn/windows/win32/apiindex/windows-api-list?redirectedfrom=MSDN

导航栏:

img

这里显示程序的不同类型数据,不同的颜色代表PE中不同的块,就如我们在文本结构的界面看到颜色相呼应。

函数窗口:

img

img

这里会列出IDA所有解析出来的函数,关联开始地址,结束地址,长度,类型等相关属性。

我们可以利用ctrl+F去筛选,比如我这里是当时分析incaseformat,筛选有关于time的函数。

ida对于不能识别出来的函数,会以sub_开头,后面再加上函数的起始位置。

名称窗口:

img

快捷键:shift+F4

这里会显示出一些名称字符串,如函数名称,字符串名称,变量名称等。

状态指示器(最下面):

img

这里显示"AU:idle",表示IDA已经完成对程序的自动化分析,我在看是不是卡死了,会看状态指示器。

主窗口中的反汇编窗口

img

十六进制窗口:

img

当前文件十六进制显示形式。

F2可对其数据进行修改,修改后再次按F2即可应用。

strings窗口:

img

快捷键:shift+f12

这个大家应该比较熟悉,做CTF题中,我们一般会先运行拿到程序,比如它会显示input your flag之类,这便是我们定位关键点的方向。

导入表:

img

当前模块用了那些模块的那些函数。同样可以用于在病毒分析的时候,对于引用dll文件和API的分析。

导出表:

img

识别出来的结构体视图:

img

枚举类型:

img

函数操作:

img

IDA的反汇编由各个函数结合而成,比如控制流程图以函数为单位生成和显示。

bp-based frame;该函数的栈指针为ebp寄存器

arg_0等是IDA友好的提示,相对栈指针偏移量为8的函数参数

var局部变量,arg参数

__cdecl调用约定

有时候,我们修改了程序,想要F5反汇编但不行,这是因为IDA并没有把它识别为一个函数,一般以push eb(base)p/rbp指令开头为一个函数的起始地址(因为要堆栈平衡,保存现场,进行压栈操作)

在函数起始的汇编代码处,按p

快捷键

删除函数:在函数窗口选择函数,按delete键

修改函数:在函数窗口ctrl+E,反汇编窗口alt+p(指定函数细节,如开始结束位置,bp寻址,参数属性)

定义函数:p

结合上面解释举几个小列子:

mov [ebp+var_var_4],0 ;给局部变量var_4赋值0

会用到的小技巧:

显示硬编码:

img

选中options的此选项

img

可在蓝色区域填写一行显示字节(硬编码一行最多16字节),每一行硬编码对应几个汇编代码。

在做CTF题目中,F5可能报错"xxxx positive sp value has been found"

图中勾选stack Pointer使sp可见

 

ALT+T(search-test):找地址

alt+k:修改值

 

有个师傅讲的比较容易理解这个地方:

函数开始和结束时候,栈顶指针必须指向同一个地方

函数的局部变量是在栈上分配的---减少sp值

回收的时候---增加sp的值

故sp指向的地方应该不变

在IDA中,假设函数开始时候sp为0,那么最后sp也应该回到0

加载C语言头文件:ctrl+F9

img

退回上一位置:ESC

前进到下一位置:ctrl+enter

跳转指令:G(Go)

img

img

经常与动态调试相结合

比如我们在x32dbg或者OD找到关键函数点,用G去定位

跳转到某一区段:ctrl+s

搜索指令:alt+t

img

img

Search up:向上搜索

Find all occurences:把所有符合条件的列成一张表(这个比较好用,因为有时候你搜的关键字全局不止一个)

在ida中我们用alt+t去搜索相关的incaseformat事件关键字

字节数据搜索:alt+B

img

修改名字标识符:n(name):

img

任何引用的地方,都会改成这个名字(方便逻辑上看清楚)

任何引用的地方,都会改成这个名字(方便逻辑上看清楚)

解决视图错乱:

img

winodws-resetdesktop 将各个窗口位置重置-savedesktop 保存设置好的窗口布局

当IDA显示错误的时候:

数据类型操作快捷键:

A(ASCII):当前数据以字符串来显示,以该位置为起点定义一个"\0"结尾的字符串

C(code):当前数据以代码的形式显示,以此为起始位置进行递归反汇编,

D(Data):当前数据以数据形式显示,一直按D键这个位置,会以1字节,2字节,4字节,8字节,循环显示

U(undefined):未定义,普通原始字节的形式显示

*键:定义数组并设置相关属性

这里我们以90(nop指令相当于python中的pass):一般以字节对齐的方式出现,作为演示:

img

按下A指令后的效果

img

按下d,一开始以一个字节显示一个,再按一个d为两个字节为单位(dw),再按一下为db四个字节

img

img

按下shift+8

img

新增加结构体类型:在Structures窗口

img

选择此选项

img

img

便会派生出你命名的结构体

img

按D可以在结构体中添加成员(类型按d,alt+q{结构体}修改,名字按n修改)

img

右键也可以修改类型为数组array,在其他IDA其他地方可以alt+q,局部变量为p,引用这个结构体。

修改数据显示:

img

光标移到常量处,右键

Octal:八进制显示

char(R):常量

Enum(M):将常量转为枚举中一个值

Invert sign:将常量按照补码解析为负数

Bitwise negate:将常量按位取反

注释:

img

img

在IDA的注释也注重与汇编和C语言注释结合

第一个按分号 ;

其他像这里跳的也会由此注释

第二个shift+;(:)

没有其他地方副本的注释

incaseformat中我们分析出相关的关键点,可以在后面加个注释,方便理解

函数调用查找:

交叉引用:x

img

平常会在逆向分析中,如果一个函数加密,如decode(x),我们可以按x去看看这个decode()函数,然后分析其中逻辑去写出逆算法。

img

img

会显示该函数被调用情况,函数地址,调用函数名称,调用方式。

该函数调用其他函数的调用情况,调用地址。

IDA patch:

有时候我们会遇到反汇编,但是只要我们把反汇编的函数nop掉,它便不会起作用。

img

img

ctrl+alt+k去修改指定位置的汇编代码(keypatch插件)。

img

img

IDA自带的patch功能:

edit-patch program-assemble

保存patch:

edit-patch program-apply patches to input file

类型操作:

img

img

img

选中函数或者变量按Y键,输入C类型,IDA便会自动解析并应用。

支持局部变量类型,参数类型,函数原型,全局变量类型,结构体,枚举。

shift+F1会调出Local Types窗口,按insert键(右键)从中可以操作C语言简单类型,IDA会解析并存储其中的类型。

当然类型不能随便乱改。如果将一个长的变量改的比较短,会报出:

"sorry,can not change variable type"错误

IDAPYthon:

img

img

IDA内置了一个python环境

执行Python脚本文件:alt+F7,file+scrip file

打开脚本面板:shift+F2-----scripting language+python

比如:

我们可以用其对函数进行解密操作。

相关脚本介绍:大家可以去看雪论坛搜一下,有几篇很好的介绍IDApython。

HexRays反编译器(F5):

img

img

伪代码

第一行为函数原型,然后局部变量的声明区域,注释代表这个变量所在的位置,右键"collapse declaration"收起。最后函数语句。

对于HexRays形成的反汇编看的时候需要一定的技巧。我们以一个简单题(来自攻防世界Reversing-x64-Elf-100)这道题为例。

img

可能懵逼的一点是&v3是什么意思,其实这相当于对一个多维数组进行运算,精确到了每个字母。

我们平常定义数组的样子,一般是这种char a[]={}。

img

在这个测试中我只取了&a[0],按道理来说应该输出a,但却输出了abc。

那是因为是因为字符串在C语言中本身就是指针形式存在,它存放是第一个元素的首地址。

我们可以只要理解数组是一个连续的内存空间,它的标识符记录的就是它第一个元素的地址,我们都知道变量名只不过是内存地址的别称,那么数组中有那么多元素,那么多内存地址,编译器选择了第一个元素来表示。

有时候我们F5会失败,堆栈不平衡,调用约定失败等原因造成。

比如:两个调用约定清理参数空间方法不一样,跟踪栈指针会出现问题。

节选于逆向工程实战:

img

在举一个小列子加深印象:

unsigned __int64 v2; //rbp 相当于C中long long类型

v1=((_DWORD)v2+14) //指针位移,v2指针加14后,位置就是(uint32)V1

IDA动态调试:

img

img

img

在需要分析代码的地方按下F2下断点

被接管调试器:windbg

F9运行

远程动态调试(一般用于linux上的文件调试):

img

1、将对应版本的服务端放在远程调试机器中

2、如linux_server64

 

chmod +x ./linux_server64

sudo ./linux_server64

img

img

选择IDA调试器:Remote Linux debugger

在ida-debugger-process options

application:调试程序

Input file:与application一致

Hostname:ipconfig

port:一般无需修改

发表评论