C/C++反汇编与逆向分析学习笔记(2)--反汇编静态分析工具IDA

时间:2024-04-10 20:40:15

 所谓“静态分析”,是相对于前面提到的“动态分析”而言的。在“动态分析”过程中,调试器加载程序,并以调试模式运行起来,分析者可以在程序的执行过程中观察程序的执行流程和计算记过。但是,在实际分析中,很多场合不方便运行目标,比如软件的某一模块(无法单独运行)、病毒程序、设备环境不兼容导致的无法运行……那么,在这个时候,需要直接把程序的二进制代码翻译程汇编语言,方便程序员阅读。想这样由目标软件的二进制代码到汇编代码的翻译过程,我们称之为”反汇编”。OllyDBG也有反汇编功能。但OllyDBG是调试工具,其反汇编辅助分析功能有限,不适合静态分析。

       下面介绍辅助功能极其强大的反汇编静态分析工具—IDA。据说它的图标是被称为“世界上第一位程序员”的Ada Lovelace的头像,中文名为阿达。书中使用IDA版本为5.5英文版。为了减少学习的干扰因素,我也使用的5.5英文版。成功安装IDA后,会出现两个可执行程序图标,一个是黑白的阿达头像,另一个是在阿达头部写有”64”字样的头像,分别对应32位和64位程序的分析。

       IDA快捷键使用说明

编号       快捷键    功能说明

01   Enter            跟进函数实现,查看标号对应的地址

02   Esc         返回跟进处

03   A            解释光标处的地址为一个字符串的首地址

04   B            十六进制数与二进制数转换

05   C            解释光标处的地址为一条指令

06   D           解释光标出的地址为数据,每按一次将会转换这个地址的数据长度

07   G            快速查找到对应地址

08   H           十六进制与十进制转换

09   K            将数据解释为栈变量

10   ;             添加注释

11   M           解释为枚举成员

12   N           重新命名

13   O           解释地址为数据段偏移量,用于字符串标号

14   T            解释数据为一个结构体成员

15   X            转换视图到交叉参考模式

16   Shift+F9       添加结构体

 

       我们可以通过分析上一节中的”HelloWorld”程序来进一步学习IDA的基本使用方法。

(1)加载分析文件

IDA加载分析文件后,会询问分析的方式,有3中分析方案供选择

       1>  Portableexecutable for 80386(PE)[pe.ldw]:分析文件为一个PE格式的文件(想要了解PE文件格式可以去看《程序员的自我修养》这本书,很经典)

       2>  MS-DOSexecuteble(EXE)[dos.ldw]:分析文件为DOS控制台下的一个文件

       3>  Binaryfile:分析一个二进制文件

(2)各视图功能

       1>IDAView-A:分析视图窗口,用于显示分析结果,可选用流程图或代码形式

       2>HexView-A:二进制视图窗口,打开一个文件的二进制信息。

3>Exports:分析文件中的导出函数信息窗口。

4>  Imports:分析文件中的导入函数信息窗口。

5>  Names:名称窗口,分析文档中用到的标号名称

6>  Functions:分析文件中的函数信息窗口。

7>  Structures:添加结构体信息窗口。

8>  Enums:添加枚举信息窗口。

(3)查看分析结果

        上一节中的“Hello world”程序反汇编分析示例如图所示。

C/C++反汇编与逆向分析学习笔记(2)--反汇编静态分析工具IDA

IDA的数据查询非常简单,只需要双击标号,即可跟踪到该数据的定义处。查看函数实现的方式也是如此,比如,如果需要返回调用处,只需按Esc键即可返回。有了IDA的帮助,使得将一个二进制文件还原成等价的C\C++代码的难度大大降低。通过图示我们可以看到IDA并没有识别出整个”第一个Win32程序”字符串,而是只显示”第一?”我们双击跟进这个字符串,找到一连串的db “…”,这就是我们要找的整个字符串,用鼠标选中这些内容,按a键(或鼠标右键里的<s”第一个Win32程序”>选项)。IDA立即把这些数据理解为一整个字符串,很方便有木有。

C/C++反汇编与逆向分析学习笔记(2)--反汇编静态分析工具IDA


C/C++反汇编与逆向分析学习笔记(2)--反汇编静态分析工具IDA



C/C++反汇编与逆向分析学习笔记(2)--反汇编静态分析工具IDA


(4)切换反汇编视图和流程视图

       反汇编代码是从IDA的反汇编视图中提取的。在函数体内,右击选择Text view进入反汇编视图,右击选择Graph view进入流程视图。流程视图使得程序的流程结构和工作量的分析变得异常容易。

(5)IDA函数名称的识别

       IDA可以识别出函数MessageBoxA及其各参数的信息。IDA是通过SIG文件来识别已知的函数信息。安装IDA的时候,已将常用库制作成SIG文件放置在IDA安装目录中的SIG文件夹下。利用此功能可识别出第三方提供的库函数,从而简化分析流程。

       附:SIG文件制作步骤(使用前需要设置环境变量).

1>  从LIB文件提取出OBJ文件:可以在控制台下使用link.exe链接器将从LIB文件生成OBJ文件。在控制台下使用link命令,link –lib /extract:[File name][Libname].lib 

2>  将每个OBJ文件制作程PAT文件:OBJ文件中包含函数的名称和对应代码的二进制机器码。在PAT文件的制作过程中,会提取出这些二进制机器码的特征,并将二进制机器码的特征码及对应函数的名称保存到PAT文件中。OBJ生成PAT时使用的pcf.exe。在控制台下使用pcf命令,pcf  [Obj name].obj

3>  多个PAT文件联合编译SIG文件:一个SIG文件是由一个或多个PAT文件编译而成的。在生成SIG的过程中,如果多个PAT文件中两个或两个以上的函数特征码相同,将会过滤掉重复特征,只保存一份。在控制台下使用sigmake.exe将PAT文件编译成为SIG文件, sigmake [Pat name].pat [Sig name].sig(注:可用*代替名称,将编译该目录想所有后缀为.pat的文件).

4>  将生成后的SIG文件放置在IDA的安装目录SIG文件夹下。使用快捷键Shift+F5添加SIG文件到分析工程中。

另外,书中还给出一段开源的反汇编引擎的代码,用于介绍反汇编引擎的工作原理。这些内容过于理论,目前我们只要会用这些工具就好,所以这里就不贴出了,感兴趣的朋友可以去看原书。

参考:

转载地址: http://blog.csdn.net/kyt511/article/details/44889327