静态分析基础

IDA插件安装方式

IDAswitch.exe

二进制基础知识

位、字节、字、比特的关系

不同类型的整数

• byte/char/uint8/int8 → db 1个字节

• word/short/uint16/int16 → dw 2个字节

• dword/int/uint → dd 4个字节(32位指针)

• qword/int64 → dq 8个字节(64位指针)

IDA窗口

IDA反汇编窗口(IDA-view)

• 主要显示汇编代码、地址、控制流图

• 文本模式和图形模式（按空格切换）

• 文本模式：(汇编代码)指令地址、指令间线性关系、机器码

• 图形模式：ctrl+滚轮缩放，方便观察控制流

IDA伪代码窗口

IDA的字符串表(strings)

IDA数据窗口(Hex view)

静态分析技巧

交叉引用

代码定位

• 字符串定位法

重命名

指定代码高亮

显示类型转换

数据十进制、hex、字符转换

不同类型数据转换

lazyIDA提取数据

数据与代码的转换

IDA调用图

常数搜索

• 用于搜索对结构体便宜的引用代码

• 搜索ollvm真实块代码

指令文本搜索

• 用于搜索特殊指令

字节序列搜索

• 特征码查找

• 花指令查找

• 代码定位

IDA patch

1. 直接修改数据：数据窗口F2

2. lazyIDA修改：文本模式 右键 → [Paste Data]

3. 修改汇编代码：Keypacth

去简单控制流混淆/基本块混乱

IDA的符号恢复

动态分析技巧

调试基本操作

• 单步执行：
F7：执行一条指令(反汇编窗口) / 执行一行语句(伪代码)，不进入函数调用
F8：执行一条指令(反汇编窗口) / 执行一行语句(伪代码)，进入函数调用
Ctrl + F7：执行到当前函数的返回后位置(步入函数后快速步出)
F4：执行到光标位置停下来(跳出循环等)
F9：运行
Ctrl + N：强制代码从光标位置处开始执行

寄存器窗口

Moudules窗口

Stack view窗口

Hex view窗口

动态链接库调试

• 启动调试模式
[Debugger] → [Process Option] → Application 修改为宿主程序路径

• 附加调试模式
无需修改，直接附加(Android调试Native库)

Android Native库调试

• Android Native调试 = Linux调试 + 动态链接库调试

• 需要上传dbgsrv / android_server 到Android设备

• Android Native调试一般以附加模式进行

• adb push命令快速上传文件

• adb shell命令可以进入Android 的shell

硬件断点

• Read：断点地址被读取时命中

• Write：断点地址被写入时命中

• Execute：断点地址被执行时命中

• Size：地址的范围大小(指令写1即可)

内存断点

• 设置方法：在IDA-view窗口按G，定位到目标内存，再按下F2键

• 默认情况下，内存断点，IDA使用硬件断点实现，若要修改则在[edit Break Pointer]中手动修改

• 内存断点也可以设置IDApython脚本

API断点

• 方法1：IDA-View窗口 → G键 → 输入导出符号名

• 方法2：[Debugger] → [Debugger Window] → [Module List] → 双击API所在模块 → 双击对应函数

调试内存相关

• 提取
右键 → [Lazy Dumper] → 填入地址和大小

• 修改
修改内存起始地址(IDA-view) → 右键 → [Paste Date]

Trace分析

• 打开菜单项[Debugger] → [Tracing] → [Tracing Options]配置Trace选项

• 在准备开始Trace的指令位置设置断点，并使该断点命中

• 开启Trace：[debugger] → [Tracing] → [Instruction Tracing]

• 开启后，单步执行一条指令，发现已经执行的指令变色表示开启Trace成功

• 按下F9继续运行，直到下一个断点手动停止Trace或直到程序结束

IDApython

使用方式总结

访问原数据

数据打补丁

• 用于对ea地址开始X字节的修改

函数获取