从0开始学逆向第二期：最喜欢的IDA

CHTXRT

已于 2024-09-03 21:10:11 修改

阅读量1.7k

点赞数 10

CC 4.0 BY-SA版权

分类专栏： # 从0开始学逆向从0开始的CTFer之路 CTF相关文章标签：安全网络安全 c语言

于 2024-09-03 14:35:44 首次发布

本文链接：https://blog.youkuaiyun.com/CHTXRT/article/details/141861030

CTF相关同时被 3 个专栏收录

23 篇文章

订阅专栏

从0开始的CTFer之路

10 篇文章

订阅专栏

从0开始学逆向

2 篇文章

订阅专栏

Reverse 学习（二） - IDA 大好き

上一节提到了逆向（和Pwn）中利用最广的工具：IDA。那么今天我们来重点讲讲这IDA应该如何使用（基础用法，难的我不会）。

学习要求

会用鼠标
会用键盘
其它跟上一节一致

[undefined]（想不到标题名）

对于刚入门的 re新星来说，最常见的还是静态分析的题目，我们可以使用IDA来进行反汇编以及进一步的反编译工作。

IDA Pro（interactive Disassembler Professional）是由 Hex-Rays 公司出品的一款交互式反汇编工具，也是软件逆向工程当中最流行的一个静态分析工具。

在之前和之后的章节中，我们提到的 IDA 其实指的就是 IDA Pro。

这里，我们假设您已经安装好了 IDA Pro。

用IDA打开程序

俗话说的好，千里之行，始于足下。你想用IDA来逆向程序，那你肯定要先用IDA打开这个程序。

如果你成功地安装了IDA Pro，那你的桌面上应该会有两个IDA，一个是32位的（x32/32-bit），一个是64位的（x64/64bit），与要分析的程序对应。32位IDA不能打开64位程序，64位IDA能打开32位程序，但是只能反汇编不能反编译。

在这里插入图片描述

想要分析一个程序，我们可以将这个程序拖到对应的IDA图标上，IDA一般都能自动识别出程序类型，会弹出如下弹框：

在这里插入图片描述

一般来说，这里我们一般都不用动这些选项，直接点OK就行了。

这个OK点完，还可能出现如下图所示弹窗：

在这里插入图片描述

出现这个弹窗就说明你有芙了，这个弹窗是用来询问你是否加载程序编译时自带的调试信息（也就是 gcc -g），看到这个狠狠地点 Yes 就完事了，这样有很多程序的函数名和变量名等都会被保留。（加载调试信息和不加载调试信息，你打开程序后可以明显看出区别，感兴趣的可以自己试试）

除了这个弹窗，还有可能会出现一些别的弹窗，一般来说，如果你看不懂，点 Yes/ OK 就完事了（“啊对对对”）。

可能有很多同学不懂得64位程序和32位程序的区别，也不知道怎么辨别程序是64位和32位，暂时对指令集知识一窍不通。没关系，我这里有个非常简单的方法：如果你不知道你要逆向的程序是多少位的，你可以先用32位IDA打开它，如果显示 Please use 64-bit IDA to load PE+ files就说明这个程序是64位的，你再用64位IDA打开它，否则这个程序就真的是32位的。（这个方法主要是防止发生你用64位IDA成功打开了32位程序但却反编译不了的尴尬场景，懂哥就不用这么试了）

成功打开程序后的IDA界面

完成上一步后，我们就会看到这样一个界面：

在这里插入图片描述

其中，左边那名为 Function Windows 的一列，是 IDA 所识别出来的函数列表，双击这个表里的函数名可以直接跳转到对应函数。

中间那几页介绍如下：

IDA-View ：以汇编形式呈现的由 IDA 进行反编译所得的单个函数结果，默认是以由基本块构成的控制流图的形式进行展示，也可以通过 空格 键切换到内存布局中的原始汇编代码
Hex View ：二进制文件的原始数据视图（有点类似于在16进制编辑器中打开的样子）
Structures ：由 IDA 所识别出来的程序中可能存在的结构体信息
Enums ：由 IDA 所识别出来的程序中可能存在的枚举信息
Imports ：该二进制文件运行时可能需要从外部导入的符号
Exports ：该二进制文件可以被导出到外部的符号