9、IDA数据显示与反汇编导航指南

IDA数据显示与反汇编导航指南

1. IDA的数据显示窗口

在逆向工程中，IDA提供了多个实用的数据显示窗口，帮助我们更好地理解和分析二进制文件。

1.1 签名窗口（Signatures Window）

签名窗口用于列出IDA已经与打开的二进制文件匹配的签名。例如，对于Windows PE文件，可能会有如下显示：
| 文件 | 状态 | #函数 | 库名称 |
| — | — | — | — |
| vc32rtf | Applied | 501 | Microsoft VisualC 2 - 8/net runtime |

这表明IDA已将 vc32rtf 签名（来自 <IDADIR>/sigs ）应用于该二进制文件，并识别出501个库函数，这意味着我们无需对这501个函数进行逆向工程。

在以下两种情况下，我们可能需要对二进制文件应用额外的签名：
- IDA可能无法识别用于构建二进制文件的编译器，从而无法选择合适的签名进行应用。此时，我们可以强制IDA尝试应用一些初步分析认为合适的签名。
- 为IDA中没有现成签名的库创建自定义签名，如为FreeBSD 8.0附带的OpenSSL库的静态版本创建签名。DataRescue提供了一个工具包，可用于生成IDA签名匹配引擎能使用的自定义签名。

应用新签名的操作步骤如下：
- 按下 INSERT 键。
- 右键单击签名窗口，选择“Apply new signature”，然后从IDA安装已知的所有签名列表