IDA基础教程6

给出的文件名为rabbithole

首先使用file命令查看一下

可以看到是64位的可执行文件
接下来我们切换到win，使用IDApro，以此文件为样例，学习IDAPython的用法。
在逆向过程中，除了写注释，还有件常做的事情就是给函数或地址重命名，特别是在一些地址无关代码（PIC），加壳或者封装函数中。因为在PIC代码和脱壳代码中，导入表可能并不存在于转储中；而封装函数的功能只是简单的调用API而已。比如下面这种代码，一个自动化的脚本可以帮助我们避免大量的手工操作。

在上面的代码中，sub_10005B3E实际上是一个对函数HeapAlloc的封装，为了代码更具可读性，我们给它重命名w_HeapAlloc，w是封装的意思。重命名用到的函数为idc.MakeName（ea,name），ea是地址，name是重命名的名称。这里要注意一点，重命名时，ea一定要是函数的起始地址。
用法很简单
这样就重命名了
在我们这次分析的文件里，其实重命名的作用不大，但是为了