第三章——静态分析技术-IDA的简单操作

 

•     注释：按“：”输入的注释只会在该处出现，按“；”的注释会在所有的交叉参考处出现

 

•     字符串搜索View->Open Subviews->String，此处字符串可与交叉引用结合使用

 

•     按ESC退后，Ctrl+Enter前进

 

•     重命名：N

 

•     标签的使用：菜单项Jump->Mark position 打开标记位置，可以进行标记，当分析到后门按Ctrl+M可以查看标记的点

 

•     代码和数据的转换：如果发现一段十六进制是一段指令，我们要做的需要将光标移至第一个字节，使用快捷键"C"，即可，

                                  按“P”可以定义为某段代码定位为子程序，并列出参数调用

                                  按“U”可以将数据重新以16进制显示

                                  按“D”数据类型会在db,dw,dd直接转换

                                  数据类型转换可以通过“Options->Setup->data types”设置更多数据类型

 

•     我们确定一串十六进制是字符串，可以通过快捷键“A”显示，当然按"A"默认是C语言字符串，也可以选择“Options->ASCII string style”设置完其他格式字符串

　　

 

• 当遇到数据为数组时，选择快捷键“ * ”来进行数组排列调整

　　　　

 

• Flirt快速识别与鉴定技术

            FLIRT技术的目的是为了每个可标识的库函数创建一个“签名”使IDA在分析时候能标识它

            如果IDA支持程序的编译器，但是FLIRT没有自动识别出来，就可以强制使用其编译器特征文件，例如：

            这里用一个Delphi5编写的程序演示，Delphi5的签名文件d5vcl.sig储存在IDASIG目录中，运行IDA，打开Delphi5.exe，我们发现

　　　

　　     我们看到这两个call没有被FLIRT识别到，这时就必须强行使用Delphi5的签名文件d5vcl.sig 

　　　　

　　　　

 

• IDC脚本

            IDA可识别的脚本有两种，一种是IDC一种是python脚本。 这里举出两个例子来简要认识IDC脚本

             第一个，用IDC脚本读取导入表，以及用python脚本读取导入表（脚本代码在附件中）

　　　

　　　　 

       　　 第二个，利用IDC分析加密代码

           　　　实例程序中有两个关键call

　　　　

　　        第一个call是对第二个call的解密过程，这段利用了SMC（自己修改自己的代码）技术，阅读这段代码后发现，解密过程较为简单，异或加密的过程

       　　 加载IDC脚本解密。之后可以利用"Shift+F2"来对代码进行解密，输入关键解密操作——decrypt(0x00401060,0x15,0x1);

　　　　

　　　　回到源程序发现

　　　　

 

 

python脚本

#coding=utf-8

def GetImportSeg():
    ea=FirstSeg()
    next=ea
    count=0

    while next != BADADDR:  #判断是否为".idata"段
        next=NextSeg(next)
        name=SegName(next)
        if name[0:6]=='.idata':
            break
    return next

def main():
    BytePtr=SegStart(GetImportSeg()) #确定idata段VA
    EndImports=SegEnd(BytePtr)
    print('
 Parsing import table...') 
    while  BytePtr<EndImports:
        if LineA(BytePtr,1):
            print( '__'+LineA(BytePtr,1)+'__')
        if Name(BytePtr): 
            print(Name(BytePtr)+'
')  #显示当前地址的函数名
        BytePtr=NextAddr(BytePtr)
    print('Import table parsing complete
')

if __name__=='__main__':
    main()

//Imports.idc 列出当前程序的输入函数
//(c)  www.PEDIY.com 2000-2008

#include <idc.idc>

static GetImportSeg()
{
    auto ea, next, name;
    ea = FirstSeg();
    next = ea;
    while ( (next = NextSeg(next)) != -1) {
        name = SegName(next);
        if ( substr( name, 0, 6 ) == ".idata" ) break;
   }
   return next;
}

static main()
{
    auto BytePtr, EndImports;
    BytePtr = SegStart( GetImportSeg() );
    EndImports = SegEnd( BytePtr );
    Message(" 
" + "Parsing Import Table...
");
    while ( BytePtr < EndImports ) {
        if (LineA(BytePtr, 1) != "") Message("
" + "____" + LineA(BytePtr,1) + "____" + "
");
        if (Name(BytePtr)!= "") Message(Name(BytePtr) + "
");
        BytePtr = NextAddr(BytePtr);
    }
    Message("
" + "Import Table Parsing Complete
");
}

#include <idc.idc>
static decrypt(from, size, key ) { 
   auto i, x; 
   for ( i=0; i < size; i=i+1 ) { 
      x = Byte(from); 
      x = (x^key); 
      PatchByte(from,x); 
      from = from + 1;
   } 
 Message("
" + "Decrypt Complete
");
}