• 我们在哪一颗星上见过 ,以至如此相互思念 ;我们在哪一颗星上相互思念过,以至如此相互深爱
  • 我们在哪一颗星上分别 ,以至如此相互辉映 ;我们在哪一颗星上入睡 ,以至如此唤醒黎明
  • 认识世界 克服困难 洞悉所有 贴近生活 寻找珍爱 感受彼此

IDA系列教程:IDA使用方法

IDA系列教程 云涯 4年前 (2020-03-31) 2793次浏览

0x01 判断32位还是64位程序来选择不同位数的IDA进行分析

64位程序可以看到“PE..d†”,32位程序可以看到“PE..L“。

images

images

0x02 操作

  • 使用 ”空格键“ 来切换图形模式和指令模式
  • 使用”options-debuging options-line prefixes“来对图形化界面指令前添加地址。

images

  • 使用”view-open subview“来选择需要显示的视图。
  • 发现00401000地址重复很多次,一个技巧是将重复地址的最后一条指令作为开始。

images

  • 顶部浏览器使用各种颜色显示可执行文件的不同部分,下面是对颜色的解释。

images

  • IDA底部有一个执行PYTHON命令的窗口。如果我写入0x45,它会运行并显示出十进制数值。也可以从十六进制转换为十进制,甚至其他进制的转换。

images

  • IDA集成了计算器”view-calculator

images

  • 看ascii编码可以使用计算器,也可以使用python命令chr()与

images

images

 

详细介绍”search“选项

  • ”NEXT CODE“

搜索下一条解释为”CODE“的指令。

  • ”NEXT DATA“

搜索下一条解释为”DATA“的指令。

  • next explored和next unexplored

第一个功能是查找已经定义的代码或数据(扩展的)

第二个功能是调转到没检测到有效指令或数据的区域(无扩展的)

  • INMEDIATE VALUE 与NEXT INMEDIATE VALUE

搜索立即值,搜索下一个立即值。可以搜索指定常量值的第一个命令或数据字节。”Find all occurrences“搜索所有事件。

  • Search Text与Search Next Text

搜索字符串,支持正则表达式。

images

images

  • SEQUENCE OF BYTES

这个功能可以搜索字节序列十六进制、十进制、八进制字符串。

images

images

Options->General–> Number of opcode bytes设置值6,作用是显示每条指令对应的6个操作码。

images

就可以看到刚刚搜索的操作码 90 90

images

  • NOT FUNCTION

查找不完整函数。不属于任何函数的命令地址。下图retn就不属于任何函数。

images


云涯历险记 , 版权所有丨如未注明 , 均为原创丨本网站采用BY-NC-SA协议进行授权
转载请注明原文链接:IDA系列教程:IDA使用方法
喜欢 (1)