簡(jiǎn)介這份《IDA簡(jiǎn)易教程共十四章圖》面向逆向工程初學(xué)者與安全分析入門(mén)者以圖文并茂的方式講解IDA Pro的基礎(chǔ)操作幫助讀者解決二進(jìn)制反匯編入門(mén)難、數(shù)據(jù)類(lèi)型識(shí)別混亂等問(wèn)題。教程從C語(yǔ)言小程序示例切入依次覆蓋基本類(lèi)型識(shí)別與轉(zhuǎn)換、操作數(shù)進(jìn)制切換、字符與字符串處理、數(shù)組定義等核心技能并延伸至枚舉類(lèi)型、位域等進(jìn)階內(nèi)容逐步建立對(duì)IDB分析流程的整體認(rèn)知。資源包內(nèi)含1個(gè)doc文檔大小約1.38MB以章節(jié)化文字配圖形式組織便于按順序閱讀或按需查閱。目前已有257人學(xué)習(xí)下載適合軟件安全、漏洞挖掘及逆向分析方向的學(xué)習(xí)者作為入門(mén)參考通過(guò)跟隨示例操作可熟悉IDA界面布局、數(shù)據(jù)轉(zhuǎn)換快捷鍵與結(jié)構(gòu)識(shí)別思路為后續(xù)深入分析二進(jìn)制程序打下基礎(chǔ)。1. 從一份十四章節(jié)的圖文筆記說(shuō)起IDA 逆向入門(mén)到底該先啃什么剛接觸逆向工程的人十有八九會(huì)在 IDA 的界面前愣住——滿(mǎn)屏十六進(jìn)制、交叉引用箭頭、函數(shù)窗口點(diǎn)錯(cuò)一個(gè)鍵整段數(shù)據(jù)就變了樣。這份《IDA 簡(jiǎn)易教程共十四章圖》的文檔恰好是那種“有人帶著你按一遍鍵”的入門(mén)材料。它不講晦澀的底層理論而是用一個(gè) C 語(yǔ)言小程序當(dāng)靶子從基本類(lèi)型識(shí)別一路講到數(shù)組、枚舉、位域每步都配了操作截圖。適合誰(shuí)適合已經(jīng)能看懂 C 代碼、但面對(duì)反匯編視圖不知道從哪下手的人。它解決的不是“逆向思維”問(wèn)題而是“IDA 這個(gè)工具我該怎么點(diǎn)”的問(wèn)題。我見(jiàn)過(guò)太多人卡在第一步不知道按 D 是干嘛的不知道*鍵能建數(shù)組結(jié)果分析效率極低。這份文檔的價(jià)值就在于把最常用的十幾個(gè)操作串成了一條線(xiàn)。2. 用 C 小程序當(dāng)靶子從編譯產(chǎn)物到 IDA 數(shù)據(jù)庫(kù)的完整操作鏈2.1 為什么選一個(gè)輸出客戶(hù)和產(chǎn)品信息的小程序教程第一節(jié)給了一段 C 語(yǔ)言小程序運(yùn)行后打印出客戶(hù)列表和產(chǎn)品列表包含姓名、性別、產(chǎn)品編號(hào)、平臺(tái)、操作系統(tǒng)等信息。這個(gè)選擇很講究——它既不是“Hello World”那種一眼看穿的玩具也不是復(fù)雜到讓人迷失的大型工程。程序里有結(jié)構(gòu)體、有數(shù)組、有枚舉、有位域幾乎覆蓋了逆向分析中最常遇到的數(shù)據(jù)組織方式。你編譯出來(lái)的二進(jìn)制文件丟進(jìn) IDA 后會(huì)自動(dòng)生成一個(gè).idb數(shù)據(jù)庫(kù)文件后續(xù)所有分析都基于這個(gè)數(shù)據(jù)庫(kù)。常見(jiàn)做法是用 GCC 或 MSVC 編譯時(shí)保留符號(hào)信息不加-s或 strip這樣 IDA 能自動(dòng)識(shí)別函數(shù)名和部分變量名降低入門(mén)門(mén)檻。如果你一上來(lái)就分析 stripped 的二進(jìn)制函數(shù)全是sub_XXXX很容易勸退。2.2 加載文件與初始分析別跳過(guò)那個(gè)彈窗把編譯好的可執(zhí)行文件拖進(jìn) IDA會(huì)彈出一個(gè)加載對(duì)話(huà)框。這里有幾個(gè)參數(shù)值得注意選項(xiàng)建議原因Processor Type默認(rèn)自動(dòng)識(shí)別手動(dòng)選錯(cuò)會(huì)導(dǎo)致反匯編指令全亂Loading Segment默認(rèn)除非你明確知道要調(diào)整基址Make imports segment勾選方便查看導(dǎo)入函數(shù)Manual load不勾讓 IDA 自動(dòng)完成初始分析點(diǎn)確定后IDA 會(huì)跑一遍自動(dòng)分析左下角狀態(tài)欄會(huì)顯示進(jìn)度。分析完成后你看到的是反匯編視圖默認(rèn)停在程序入口點(diǎn)。這時(shí)候別急著按鍵盤(pán)先按空格鍵切換到圖形視圖能直觀看到基本塊之間的跳轉(zhuǎn)關(guān)系。我一般會(huì)先按ShiftF12打開(kāi)字符串窗口看看程序里有哪些明文字符串——這是最快建立“這個(gè)程序在干嘛”認(rèn)知的方法。教程里的小程序會(huì)打印客戶(hù)和產(chǎn)品信息所以字符串窗口里應(yīng)該能看到格式串和產(chǎn)品名稱(chēng)。2.3 導(dǎo)航與交叉引用把散落的數(shù)據(jù)串起來(lái)在反匯編視圖里雙擊任何一個(gè)函數(shù)名或標(biāo)號(hào)就能跳轉(zhuǎn)過(guò)去。按Esc鍵返回上一位置按CtrlEnter跳到下一個(gè)位置。這些導(dǎo)航操作看起來(lái)簡(jiǎn)單但新手最容易迷路——跳了七八層之后不知道自己在哪。我的習(xí)慣是每分析完一個(gè)函數(shù)就在函數(shù)開(kāi)頭按N鍵給它起個(gè)有意義的名字比如print_customer_list或check_product。這樣即使后面跳暈了看函數(shù)名也能快速定位。交叉引用是 IDA 的核心能力之一。選中一個(gè)變量或函數(shù)按X鍵就能看到所有引用它的位置。教程里雖然沒(méi)有專(zhuān)門(mén)講這個(gè)但后續(xù)的類(lèi)型轉(zhuǎn)換、枚舉定義都依賴(lài)交叉引用定位。比如你在字符串窗口看到CUSTOMER %04d: %s (%c)按X找到引用它的函數(shù)再按F5嘗試反編譯如果裝了 Hex-Rays 插件就能看到接近 C 語(yǔ)言的偽代碼。這一步是從“看匯編”到“理解邏輯”的關(guān)鍵跳躍。2.4 保存與恢復(fù)別讓幾小時(shí)的分析白費(fèi)IDA 的數(shù)據(jù)庫(kù)是增量保存的。你每做一個(gè)修改——重命名、改類(lèi)型、加注釋——都會(huì)寫(xiě)入.idb文件。但如果你在分析過(guò)程中關(guān)閉 IDA 時(shí)選了“不保存”那之前的操作就全丟了。血淚經(jīng)驗(yàn)是養(yǎng)成按CtrlW手動(dòng)保存的習(xí)慣尤其是在做了一大批類(lèi)型轉(zhuǎn)換之后。另外IDA 支持生成.id0、.id1、.nam、.til等輔助文件打包分享時(shí)要把這些一起帶上否則對(duì)方打開(kāi)后你的命名和類(lèi)型信息全沒(méi)了。如果只是想導(dǎo)出分析結(jié)果可以用File → Produce File → Create MAP File生成映射文件里面包含所有函數(shù)名和地址對(duì)應(yīng)關(guān)系。3. 類(lèi)型識(shí)別與數(shù)據(jù)轉(zhuǎn)換按 D 鍵背后的邏輯和邊界3.1 基本類(lèi)型轉(zhuǎn)換byte、word、dword 到底怎么選教程第二節(jié)講的是按D鍵轉(zhuǎn)換數(shù)據(jù)類(lèi)型。這個(gè)操作的本質(zhì)是告訴 IDA“從當(dāng)前地址開(kāi)始的這幾個(gè)字節(jié)應(yīng)該按什么寬度來(lái)解釋。” 按一次D變成 byte1 字節(jié)再按一次變成 word2 字節(jié)再按變成 dword4 字節(jié)循環(huán)切換。但這里有個(gè)容易翻車(chē)的地方IDA 是根據(jù)數(shù)據(jù)自身的結(jié)構(gòu)來(lái)轉(zhuǎn)換的如果你在一個(gè)已經(jīng)被定義為 dword 的地址上按D它會(huì)提示你確認(rèn)是否要覆蓋已有定義。這個(gè)確認(rèn)彈窗可以在Options → Convert already defined bytes里關(guān)掉但我建議保留——因?yàn)檎`操作覆蓋了之前辛苦分析的類(lèi)型后悔藥可不好吃。選擇寬度的依據(jù)是什么看數(shù)據(jù)的使用方式。如果某個(gè)值被mov al, [addr]這樣引用那它大概率是 byte如果是mov eax, [addr]那就是 dword。教程里的小程序有客戶(hù)編號(hào)和產(chǎn)品編號(hào)這些通常是整數(shù)在 32 位程序里一般按 dword 處理。但如果你不確定可以先按U鍵撤銷(xiāo)所有轉(zhuǎn)換回到未定義狀態(tài)再根據(jù)上下文重新判斷。3.2 操作數(shù)格式與進(jìn)制轉(zhuǎn)換讓數(shù)字讀起來(lái)更順眼第三節(jié)講的是操作數(shù)格式轉(zhuǎn)換。在反匯編視圖里數(shù)字默認(rèn)以十六進(jìn)制顯示但你可以通過(guò)Operands → Number切換成十進(jìn)制、八進(jìn)制或二進(jìn)制。這個(gè)功能在分析數(shù)組下標(biāo)或循環(huán)計(jì)數(shù)時(shí)特別有用——看到一個(gè)cmp eax, 0Ah可能要想一下但切換成十進(jìn)制后直接顯示cmp eax, 10一目了然。Toggle leading point這個(gè)選項(xiàng)的作用是高位補(bǔ)零。比如一個(gè) byte 值0x0A默認(rèn)顯示0A開(kāi)啟后會(huì)顯示00 00 00 0A取決于當(dāng)前數(shù)據(jù)寬度。這在對(duì)比數(shù)據(jù)時(shí)有用但日常分析中我很少開(kāi)因?yàn)檎计聊豢臻g。符號(hào)位轉(zhuǎn)換正負(fù)也類(lèi)似默認(rèn)十六進(jìn)制下0xFFFFFFFF看起來(lái)很大切換成有符號(hào)十進(jìn)制就是-1對(duì)理解邏輯幫助很大。3.3 字符與字符串操作A 鍵和 ASCII 風(fēng)格設(shè)置第四節(jié)的核心操作是按A鍵把數(shù)據(jù)轉(zhuǎn)成字符串。教程里的小程序是 C 寫(xiě)的所以字符串以\0結(jié)尾。IDA 默認(rèn)的 ASCII 字符串風(fēng)格就是 C 風(fēng)格按A后會(huì)自動(dòng)在地址旁添加一個(gè)名字比如aCustomer。但如果你的目標(biāo)程序是 Pascal 風(fēng)格長(zhǎng)度前綴或 Delphi 風(fēng)格就需要在Options → ASCII string style里改默認(rèn)設(shè)置。這里有個(gè)細(xì)節(jié)字符串轉(zhuǎn)換后IDA 會(huì)在字符串末尾自動(dòng)加上終止符的注釋。如果你發(fā)現(xiàn)轉(zhuǎn)換后字符串多了一個(gè)亂碼字符大概率是終止符判斷錯(cuò)了。這時(shí)候可以手動(dòng)在字符串末尾按A重新調(diào)整或者在ASCII string style里自定義終止字符。我一般會(huì)先按A試一下如果不對(duì)再檢查原始字節(jié)看看是不是長(zhǎng)度前綴或?qū)捵址鸘TF-16的問(wèn)題。3.4 數(shù)組創(chuàng)建星號(hào)鍵和 Array 對(duì)話(huà)框的參數(shù)含義第五節(jié)講數(shù)組。在 C 里字符串就是字符數(shù)組所以 IDA 處理數(shù)組的邏輯和字符串類(lèi)似。操作步驟是先定義數(shù)組第一個(gè)元素的類(lèi)型按D設(shè)為 byte再按A設(shè)為 char然后光標(biāo)放在第一個(gè)元素上按*鍵或Edit → Array彈出數(shù)組創(chuàng)建對(duì)話(huà)框。對(duì)話(huà)框里的參數(shù)需要理解Array element width每個(gè)元素的字節(jié)寬度。char 是 1int 是 4。Maximum possible sizeIDA 會(huì)自動(dòng)計(jì)算從當(dāng)前地址到下一個(gè)已定義符號(hào)之間的最大空間。Use dup construct合并連續(xù)的相同字節(jié)。比如 64 個(gè)0x00勾選后顯示為dup(0)不勾選則展開(kāi)顯示 64 行。Display index在每行前面顯示數(shù)組下標(biāo)方便定位。教程里設(shè)置的是 64 個(gè)元素、一行 8 個(gè)、寬度 4、不勾選 dup、勾選 display index。這個(gè)配置適合查看有規(guī)律的數(shù)據(jù)塊。如果數(shù)組里有未識(shí)別的字節(jié)IDA 會(huì)用紅色高亮提醒你那里可能還有未定義的數(shù)據(jù)。3.5 枚舉與位域把魔數(shù)變成有意義的名字第六節(jié)和第七節(jié)分別講枚舉和位域。枚舉的操作是打開(kāi)Enumerations窗口新建一個(gè)枚舉類(lèi)型輸入各個(gè)枚舉值的名稱(chēng)和對(duì)應(yīng)數(shù)值。然后在反匯編視圖里右鍵點(diǎn)擊某個(gè)數(shù)值選擇Symbolic constantIDA 會(huì)自動(dòng)匹配枚舉值并替換顯示。教程里定義了product_category_t類(lèi)型把產(chǎn)品類(lèi)別從數(shù)字變成了可讀的名稱(chēng)。位域稍微復(fù)雜一些。IDA 把位域視為一種特殊的枚舉在枚舉創(chuàng)建窗口里勾選Bitfield選項(xiàng)。教程里區(qū)分了兩種位域一種是組合模式platform 和 os可以用邏輯或組合多個(gè)值另一種是互斥模式category每次只能屬于一種。對(duì)于組合模式的位域IDA 只能顯示一個(gè)值所以需要?jiǎng)?chuàng)建多個(gè)小的位域每個(gè)值對(duì)應(yīng)一個(gè) bit。這個(gè)設(shè)計(jì)思路和 C 語(yǔ)言里位域的定義是一致的理解這一點(diǎn)后操作就不難了。4. 避坑與排查類(lèi)型轉(zhuǎn)換和數(shù)組操作中最容易翻車(chē)的五個(gè)場(chǎng)景4.1 按 D 鍵后數(shù)據(jù)變成紅色高亮現(xiàn)象按D轉(zhuǎn)換后數(shù)據(jù)區(qū)域顯示為紅色而不是正常的藍(lán)色或黑色。原因紅色表示該區(qū)域有未識(shí)別的字節(jié)或者 IDA 無(wú)法確定數(shù)據(jù)的邊界。常見(jiàn)于數(shù)組中間有填充字節(jié)或者字符串沒(méi)有正確終止。解決先按U撤銷(xiāo)轉(zhuǎn)換檢查原始字節(jié)。如果是數(shù)組確認(rèn)元素寬度和數(shù)量是否正確如果是字符串檢查終止符位置。必要時(shí)手動(dòng)在正確位置按A或D重新定義。4.2 數(shù)組創(chuàng)建后顯示錯(cuò)位現(xiàn)象創(chuàng)建數(shù)組后元素排列不整齊或者下標(biāo)從非零開(kāi)始。原因數(shù)組起始地址選錯(cuò)了或者Element width設(shè)置與實(shí)際數(shù)據(jù)寬度不匹配。比如實(shí)際是 4 字節(jié)的 int 數(shù)組但寬度設(shè)成了 1。解決撤銷(xiāo)數(shù)組定義按U重新定位到正確的起始地址。先用D鍵確認(rèn)單個(gè)元素的寬度再按*創(chuàng)建數(shù)組。如果下標(biāo)不對(duì)檢查Display index的起始值設(shè)置。4.3 字符串轉(zhuǎn)換后多出亂碼現(xiàn)象按A后字符串末尾出現(xiàn)?或方塊字符。原因終止符判斷錯(cuò)誤或者字符串實(shí)際是寬字符UTF-16但按單字節(jié)解析了。解決檢查Options → ASCII string style的設(shè)置。如果是寬字符需要先按D把類(lèi)型設(shè)為 word再按A轉(zhuǎn)換。也可以在字符串末尾手動(dòng)添加終止符。4.4 枚舉值不匹配現(xiàn)象右鍵選擇Symbolic constant后IDA 沒(méi)有自動(dòng)匹配到枚舉值或者匹配錯(cuò)了。原因枚舉值的數(shù)值和當(dāng)前操作數(shù)的數(shù)值不一致或者枚舉類(lèi)型沒(méi)有正確關(guān)聯(lián)到當(dāng)前函數(shù)。解決打開(kāi)Enumerations窗口確認(rèn)枚舉值的數(shù)值是否正確。如果數(shù)值是十六進(jìn)制注意大小端問(wèn)題。另外確保在正確的函數(shù)上下文中操作——IDA 會(huì)根據(jù)當(dāng)前函數(shù)的類(lèi)型信息來(lái)匹配枚舉。4.5 位域顯示不完整現(xiàn)象組合模式的位域只能顯示一個(gè)值無(wú)法同時(shí)顯示多個(gè) bit 的組合。原因IDA 的位域設(shè)計(jì)就是一次只顯示一個(gè)值組合模式需要拆分成多個(gè)單位域。解決按照教程第七節(jié)的方法為每個(gè) bit 創(chuàng)建一個(gè)獨(dú)立的位域然后在反匯編視圖里分別應(yīng)用。雖然操作繁瑣但這是 IDA 的既定邏輯沒(méi)有捷徑。5. 從入門(mén)到上手一套可復(fù)用的 IDA 分析流程和驗(yàn)證習(xí)慣把前面幾章的操作串起來(lái)我一般會(huì)走這樣一套流程先ShiftF12看字符串建立程序功能的初步印象然后找到主函數(shù)main或WinMain按F5嘗試反編譯接著從字符串交叉引用入手逐個(gè)分析關(guān)鍵函數(shù)在分析過(guò)程中遇到不確定的數(shù)據(jù)就按D試寬度遇到數(shù)組就按*建數(shù)組遇到魔數(shù)就建枚舉替換。這套流程不保證最快但能保證每一步都有依據(jù)不會(huì)因?yàn)閬y按鍵盤(pán)把數(shù)據(jù)庫(kù)搞亂。驗(yàn)證分析是否正確的方法也很直接改一個(gè)變量的類(lèi)型或名字看反匯編視圖和反編譯視圖是否同步更新。如果反編譯視圖里出現(xiàn)了你定義的枚舉名或數(shù)組名說(shuō)明類(lèi)型信息已經(jīng)正確傳遞。另外可以按CtrlP打開(kāi)函數(shù)列表看看你重命名的函數(shù)是否都在列表里地址和名稱(chēng)是否對(duì)應(yīng)。如果發(fā)現(xiàn)某個(gè)函數(shù)名沒(méi)生效檢查是否在正確的地址上按了N鍵。最后說(shuō)一個(gè)我自己的習(xí)慣每次分析完一個(gè)二進(jìn)制文件我都會(huì)在數(shù)據(jù)庫(kù)里加一個(gè)注釋塊記錄分析日期、目標(biāo)文件哈希、關(guān)鍵函數(shù)地址和分析結(jié)論。這樣過(guò)幾個(gè)月再回頭看不用重新跑一遍就能回憶起當(dāng)時(shí)的思路。IDA 的注釋功能按;或:支持多行文本足夠?qū)懴乱欢瓮暾姆治龉P記。從那以后我每次打開(kāi)一個(gè)陌生二進(jìn)制都強(qiáng)制先走一遍字符串窗口和函數(shù)列表再動(dòng)手改任何類(lèi)型——這個(gè)習(xí)慣幫我省下了不少返工的時(shí)間。希望幫到你。本文還有配套的精品資源點(diǎn)擊獲取