IDA学习笔记
标题：IDA学习笔记
作者：kagula
日期：2015-06-09
环境：IDA 6.6、VS2013Update4
阅读前提: 熟悉计算机指令
介绍
通过分析自己用VS2013写的Win DLL来学习IDA反汇编工具的使用。这里记录了我分析二进制代码过程中经常遇到的问题。
首先通过参考资料[1]来熟悉下IDA的使用，建立个最基本的概念。“idb”文件是你分析样本的数据库文件，你对样本的分析信息，比如对函数变量的重命名了，代码的注释了，都会存在这个文件里。
PE（Portable Executable）格式，是微软Win32环境可移植可执行文件(如exe、dll、vxd、sys和vdm等)的标准文件格式，这是我现在要分析的样本格式。
IDA的主要窗口如下
IDA view: 定位要修改的代码段在哪里。
Hex view: 用来修改我们的数据
exports window: 导出窗口
import window: 导入窗口
names window: 函数和参数的命名列表
functions window: 样本的所有函数窗口
strings window: 字符串显示窗口，会列出程序中的所有字符串
上面几个窗口由于样本的作者会做些反分析处理， 你装载样本后， 马上去看是不准确的。
分析二进制代码比想像中的复杂很多，除了二进制代码比较冗长外，样本作者还会采取各种措施阻碍你分析它的代码。
一般样本会hide关键字符串，让你找不到。
当然一旦你的IDA程序正确起来加载了样本，就没有破解不了的东西，难是难在时间成本的控制，因为你不可能花几年时间把所有的二进制代码读一遍。
如何确定反汇编的区域
这是最难的部份，样本的作者[1]可能加壳[2]代码段里放数据，数据段里放代码让IDA无法自动线性反汇编，不能确定函数和过程边界[3]在代码段里插入特定指令让IDA无法自动线性反汇编[4]函数体（代码）分散在各个数据段里，你必须手动确定函数体[5]注册码放入多级指针中分别进行多级offset，让你无法使用IDAtrace[6]每次启动进程，根据注册码生成的内部注册码都不一样，等等。
如果样本比较简单的话，可以通过样本访问了哪些系统API为始点进行动态分析，确定反汇编区域。
在这个过程中你经常需要改变“内存变量的值”，“执行流程”来测试你现在所跟踪的分支是否有“价值”进一步分析其含义。
如何修改数据
在Hex View窗口下，[S1]双击要修改的地方[S2]使用[F2]捷方式修改当前字节[S3]再按下[F2]快捷方式应用修改。
如何改变执行流程
[1]修改跳转指令。
[2]修改内存数据。
[3]IDA View中使用下面的命令Jump to IP,Set IP, Run to cursor。
保存修改
使用下面的主菜单命令，直接把修改保存到输入文件中
[IDA Main Menu]->[Edit]->[PatchProgram]->[Apply patches to input file...]。
如何查看函数之间的关系
IDAView下使用小键盘“-”，“+”快捷方式可以在代码同关系图之间切换。
如何查看符号引用
IDA View下使用[X]快捷方式，定位引用了当前符号的代码。
FQA
Q 如何实现16进制加法运算?
A
Matlab中使用下面的命令可以实现0x50+0x150=0x1a0的计算
dec2hex(hex2dec('50')+hex2dec('150'))
Q C语言函数形参表压栈顺序
A
从右向左压栈，Call指令返回后，需要根据函数的参数数量修改esp寄存器的值，
add esp,0Ch;三个参数，每个参数四字节所以是0ch
Q 如何显示C伪代码
A
如果有[Main menu]->[View]->[Open SubViews]->[Pseudocode F5]菜单，说明你已经安装了Hex Rays decompiler插件，可以在查看汇编的时候，按[F5]打开伪代码子窗口。
Q 如何返回Function(Proc)的上级调用
A
打开“Call Stack”View。使用[Esc]返回。
Q 如何把变量重定义为数组
A
使用快捷键"*"。
Q如何对DLL文件进行动态跟踪
A
Step1: 用[F2]在IDA View中当前代码行切换断点。
Step2: 启动装载DLL的EXE文件。
Step3: 使用[Debugger]->[Attach toprocess]把当前二进制代码attach到正在运行的进程中去。
Step4: 现在应该进入断点。[F7]Stepinto。[F8]Stepover。[F9]continue。
Step5: Cursor移到内存位置后双击就可以查看到具体内存中的值，右击快捷菜单[Jumpto IP]项，可以回到你刚才指令的地方。
Step6: IDA View中有很多行代码，可以使用[;]快捷键对当前行进行注释。
Step7: 为了观察具体指令的二进制表示你还需要[IDAView]->[右击快捷菜单]->[Synchronize with]->[Hex View 1]这样Hex View会和你的IDA View中光标位置同步。
没有第七步，你很难看懂ASM的意思。
Step8: 在IDA View中为函数改名，用[N]快捷键。
Step10: 观察内存（变量）[Tool bar]->[Open the watch list window],[Toolbar]->[Add a variable towatch]。
Step11（可选）: 如果作者混淆了二进制代码，你需要IDAView在频繁使用[D]ata快捷键，[C]ode快捷键，强制IDA，解析指定数据块为数据(Data)或代码(Code)。
常用指令同二进制的对应关系
NOP 00 00 A0 E1
常用工具
WinSpy 查看进程的窗口信息
http://www.catch22.net/software/winspy-17
Resource Hacker查看EXE、DLL的资源
http://www.angusj.com/resourcehacker/
参考资料
[1] 利用IDA Pro反汇编程序
http://www.cnblogs.com/vento/archive/2013/02/09/2909579.html
[2] experiment : add struct define onIDA6.1
http://blog.csdn.net/lostspeed/article/details/9300575
[3] ASCII码与16进制的互相转换(表)
http://www.cnblogs.com/ciey/archive/2010/01/05/1639969.html
[4] 去除 dll 和 exe 文件的数字签名
http://www.cnblogs.com/szyicol/archive/2012/06/21/2558104.html
[5]在线破解工具包
http://down.52pojie.cn/Tools/
后记
有空浏览下IDA主菜单、popup menu、IDA本身自带的帮助文档，了解有哪些基本功能可供我们调用，以及如何使用。