IDA逆向分析的方法

一、PE文件的分析流程。

 

1. 对于DLL文件，先查看它的导出表，确定一些功能函数。

 

2. 查看导出表，看调用了那些类型的API。比如可能有如下几类 

（1）      文件操作、创建、写、读

（2）      注册表操作，读、写

（3）      提权相关函数（Privage）

（4）      进线程函数 

然后根据这写不同类型的导出函数，用X快捷键查看有哪些地方引用了，可以分析出一些sub_0xxxx函数的功能。

 

3. 用[shift+F12]调出字符串表，再根据这些字符串，查看引用的地方，也可以分析出一些sub_0XXXX函数的功能。

 

 

二、主流程分析

 

1.      对于一个函数内部的分析，或者说，对于一个主流程的分析，其调用栈非常关键，

一般来说，通过调试器或者IDA逐层分析到的栈会有很多层，少则十几层，多则几十层。

栈帧	函数
1	Main
2	SetDefaultBrowser
3	QueryBrowerInfo
4	…
5	…
6	STL函数、BOOST库
7	…
8	…
9	CRT函数库
10	…
11	…
12	操作系统API调用
13	SHRegSetString
14	RegCreateKeyEx

在用IDA分析时，经常会遇到这么多层的栈，一般来说，程序员写的（DIY代码）也就四五层这样，因为根据程序设计的规则，主干功能，调用层次不会写的太深（也就是表格中橙色部分）。大部分程序会调用CRT函数和STL函数库，也有很多软件公司会自己写一些基础类库，这些函数会分布在第六七八层这样，表格中浅蓝色部分。再下面可能会有CRT的运行时函数，这些函数一般IDA会帮助分析出名子，这也占用两三次的栈空间（表格中黄色部分）。再下面就是系统API了，表格中紫色部分。

 

2.      在分析过程中，要先了解程序的主要功能，大概的逻辑，比如会写某几个注册表键值，会计算一个hash编码，会创建子进程等等，越具体越好。然后再逆向分析，分析过程中我们主要分析程序员DIY的代码，也就是表格中的橙色部分。对于下层的STL等第三方函数库，基本了解功能就好，不要死扣具体逻辑。

 

3.      对于sub函数，编译器和IDA有固定的编译安排和命名规则，一般对于CRT的或者STL的等这些函数，一般是sub_0000xxxx，也就是偏移比较小的，而且会将同一个cpp的，同一个lib库的函数连接在一起。比如std::string的构造函数和std::string的拷贝、拼接等子函数都是挨着的，比如可能的IDA命名是sub_00001234，sub_00001235，sub_00001236，sub00001237等，偏移是离的很近的。

 

 

二、IDA的常用方法-快捷键

 

1. 查找引用 x 快捷键 可以查找 导入函数 也可以查找  字符串的 引用

 

2. ESC 快捷键 退回到上一层函数

 

3. shift+F12 显示字符串列表。