首页 > 编程语言 >反汇编工具IDAPro简介

反汇编工具IDAPro简介

时间:2023-10-12 22:00:41浏览次数:48  
标签:文件 exe 简介 Pro IDAPro 反汇编 数据库 IDA

目录

一、前言

  IDA Pro(Interactive Disassembler Professional)简称“IDA”,是Hex-Rays公司出品的一款交互式反汇编工具,是目前最棒的一个静态反编译软件,为众多 0day 世界的成员和 ShellCode 安全分析人士不可缺少的利器。IDA Pro具有强大的功能,但操作较为复杂,需要储备很多知识,同时,它具有交互式、可编程、可扩展、多处理器等特点,可以通过Windows或Linux、MacOS平台来分析程序, 被公认为最好的逆向工程利器之一。

  IDA Pro已经成为分析敌意代码的标准并让其自身迅速成为攻击研究领域的重要工具。它支持数十种CPU指令集其中包括Intel x86、x64、MIPS、PowerPC、ARM、Z80、68000、c8051等等。

二、下载

链接:https://pan.baidu.com/s/17DVxz7Ixu_0iZ5wgZpK2Yg?pwd=eyb8
提取码:eyb8

工具:

  • 版本:x64_idapronw-qY2jts9hEJGy.exe
  • 安装密码:qY2jts9hEJGy

三、安装

img

img

img

img

img

img

img

img

img

四、简单使用

  安装成功会后会显示两个运行程序IDA Pro(32bit)IDA Pro(64bit),分别对应 32位 和 64位 程序的分析。IDA支持常见的PE格式,DOS、UNIX、Mac、Java、.NET等平台的文件格式。

img

第一步:打开IDA Pro32软件

  双击exe文件弹出如下图所示的“Support message”界面,点击OK按钮。

img

第二步:新建一个文件

  IDA包括三种加载文件的方式,其中“New”是新建打开一个标准文件的对话框,“GO”是运行打开一个空白工作,用户将要分析的文件拖入分析,“Previous”是选择最近一次使用过的文件。

img

第三步:选择一个 exe 进行分析

#include<stdio.h>
int main()
{
    printf("Hello World!!!\n");
    return 0;
}

  编译出一个简单的exe程序,导入到 IDA

img

第四步:装载PE文件

  在“Load a new file”窗口中选择装载PE文件,包括text(代码块)、data(数据块)、rsrc(资源块)、idata(输入表)和edata(输出表)等,也可以载入二进制文件。

img

  IDA反汇编 包括两个阶段,首先将程序的代码和数据分开,分别标记函数并分析参数调用、跳转、指令关系等;接着如果 IDA 能识别文件的编译类型,就装载对应的编译器特征文件,给各函数赋名。同时,IDA会创建一个数据库,其组件分别保存在“.id0”、“.id1”、“.nam”和“.til”的文件里。

  接着弹出确认窗口,可以选择“Don’t show this message again”选项。

img

第六步:显示运行结果

  此时,运行结果如下图所示,接着可以开始逆向分析。

img

  IDA View显示如下图所示:

img

  Hex View十六进制显示如下图所示

img

  下图可以看到代码中的“hello world!!!\n”。

img

第七步:查看源代码

  按下 F5 能够查看对应的源代码。

img

第八步:关闭IDA Pro并保存数据库文件

  保存 IDB 数据库文件至本地,它记录了用IDA Pro对该程序分析中的工作状态,包括反汇编分析、区段扫描、用户自定义结构、用户自定义名称、注释等信息。点击右上角的关闭按钮,弹出IDA Pro保存数据库窗口(Save Database),使用默认选项,直接点击OK即可以保存生成数据库(.idb)文件。

img

  下次载入时,可以直接加载数据库文件,获取之前分析的状态。

img

参考

原文地址:https://zhuanlan.zhihu.com/p/654827119

常用反汇编指令:http://www.alonemonkey.com/c-disassembling.html

反汇编示例:https://blog.csdn.net/L2510408497/article/details/118491525

标签:文件,exe,简介,Pro,IDAPro,反汇编,数据库,IDA
From: https://www.cnblogs.com/hhddd-1024/p/17760691.html

相关文章

  • 无涯教程-DBUtils - 简介
    ApacheCommonsDbUtils库是一组很小的类,这些类旨在简化JDBC调用处理,而不会造成资源泄漏,并使代码更简洁。由于JDBC资源清理非常繁琐且容易出错,因此DBUtils类有助于抽象出样板代码,以便开发人员仅专注于与数据库相关的操作。DBUtils优点NoReasourceLeakage - DBUtils类确保......
  • Unix domain socket 简介
    原文:https://www.cnblogs.com/sparkdev/p/8359028.html Unixdomainsocket又叫IPC(inter-processcommunication进程间通信)socket,用于实现同一主机上的进程间通信。socket原本是为网络通讯设计的,但后来在socket的框架上发展出一种IPC机制,就是UNIXdomainsocket......
  • 无涯教程-ASP.NET MVC - 简介
    ASP.NETCoreMVC是ASP.NETCore内,提供给Web应用程序开发的框架,它可视为ASP.NETMVC的后继版本,其主要功能均衍生自ASP.NETMVC,但它除了基于ASP.NETCore外,也将ASP.NETMVC与类似平台进行了整合,例如负责View的ASP.NETWebPages以及负责RESTfulAPI的ASP.NETW......
  • Oracle 简介与 Docker Compose部署
    最近,我翻阅了在之前公司工作时的笔记,偶然发现了一些有关数据库的记录。当初,我们的项目一开始采用的是Oracle数据库,但随着项目需求的变化,我们不得不转向使用SQLServer。值得一提的是,公司之前采用的是Docker技术,所有数据库的部署都是通过DockerCompose来完成的。在今天的文......
  • Composite 组合模式简介与 C# 示例【结构型3】【设计模式来了_8】
    〇、简介1、什么是组合设计模式?一句话解释:  针对树形结构的任意节点,都实现了同一接口,他们具有相同的操作,可以通过某一操作来遍历全部节点。组合模式通过使用树形结构来组合对象,用来表示部分以及整体层次。组合模式属于结构型模式,多用于递归。官方意图描述:将对象组合成树形......
  • UML简介6活动(Activity)图
    6活动图活动图侧重于将程序处理建模为系统。它规定了实现活动所需的各个步骤--操作--之间的控制流和数据流。在UML2中,活动图使用面向流程的语言概念,这些概念起源于定义业务流程的语言。活动图也基于用于描述并发通信过程的既定概念,如Petri网的标记概念。活动图的特点是既支持......
  • 绘制系统(绘制系统简介,画笔和画刷,渐变系统,坐标系统,绘制文字和图片,图形视图框架)
    一、绘制系统简介QPainter、QPaintDevice和QPaintEngine这三个类。其中QPainter用来执行绘图操作;QPaintDevice提供绘图设备,它是一个二维空间的抽象,可以使用QPainter在其上进行绘制;QPaintEngine提供了一些接口,可以用于QPainter在不同的设备上进行绘制。在绘图系统中由QPainter来完成......
  • 模型视图简介、QListWidget、QTreeWidget、QTableWidget、QStringListModel、QFileSys
    一、模型视图简介   有时,我们的系统需要显示大量数据,比如从数据库中读取数据,以自己的方式显示在自己的应用程序的界面中。早期的Qt要实现这个功能,需要定义一个组件,在这个组件中保存一个数据对象,比如一个列表。我们对这个列表进行查找、插入等的操作,或者把修改的地方写回,然后......
  • 反射简介(Reflecyion)
    反射: 优点:可以实现动态创建对象和编译,灵活性好缺点:对性能有影响,反射基本是一个解释操作,我们可以告诉JVM,我们希望做什么并且它满足我们的需求,这些操作总是会慢于直接执行相同的操作。反射主要的API:Class ......
  • 注解(Annotation)简介,内置注解,元注解,自定义注解
    注解:不是程序本身,可以对程序做出解释(这一点和注释没什么区别)可以被其他程序(比如编译器)读取@Functional(这是L)(这是I)Interface  函数式接口 内置注解:java本来就有的注解@Override  重写@Deprecated 已废弃,不推荐使用的意思@SuppressWarnings 镇压警告 ......