20、恶意二进制文件调试与功能分析

恶意二进制文件调试与功能分析

在进行恶意软件分析时，调试技术是理解恶意二进制文件内部工作原理的有效方法。本文将介绍一些调试恶意二进制文件的技巧，以及常见恶意软件的功能和行为。

1. 调试恶意二进制文件

在IDA中，可以使用一些IDAPython脚本来辅助调试恶意二进制文件。

1.1 获取UNICODE字符串

要获取UNICODE字符串，可以使用 idc.get_strlit_contents() 函数，并将其 strtype 参数设置为常量值 idc.STRTYPE_C_16 。示例代码如下：

ea = 0x00C37860
print idc.get_strlit_contents(ea, strtype=idc.STRTYPE_C_16)

运行结果：

SHAMple.dat

1.2 列出所有加载的模块

以下代码可以列出所有加载的模块（可执行文件和DLL）及其基地址：

import idautils
for m in idautils.Modules():
    print "0x%08x %s" % (m.base, m.name)

运行结果示例：