：逆向工程與固件分析指南)
簡介IDA5.0 是一款經(jīng)典的反匯編與逆向分析工具本資源面向逆向工程初學者、安全研究人員及需要分析二進制程序的開發(fā)者幫助解決可執(zhí)行文件反匯編、靜態(tài)分析與代碼結(jié)構(gòu)還原等需求。壓縮包內(nèi)共114個文件約55.71MB以pat插件文件、exe可執(zhí)行程序、idt與sig簽名庫、bat批處理腳本為主另含idc腳本、dll動態(tài)庫、readme說明文檔及少量源碼與本地化文件覆蓋工具運行、插件擴展與簽名識別等用途。目前已有320人學習下載說明其在逆向入門與老版本工具研究場景中仍具參考價值。通過該資源讀者可獲得一套可直接部署的IDA5.0工作環(huán)境借助簽名庫與插件提升函數(shù)識別效率并利用批處理與腳本文件快速完成啟動配置適合用于惡意樣本分析、漏洞研究及軟件逆向?qū)W習的早期實踐。1. 反匯編工具 IDA5.0為什么老版本反而成了逆向工程的“活化石”如果你在 2024 年還聽到有人用 IDA5.0 做逆向分析第一反應可能是“這人是不是沒網(wǎng)盤”。但實際情況是IDA5.0 作為一款經(jīng)典的反匯編工具至今仍活躍在嵌入式固件分析、老舊工控設備逆向、CTF 逆向題復現(xiàn)以及部分惡意樣本的靜態(tài)分析場景里。原因很直接它體積小、啟動快、對 32 位 x86 和早期 ARM 指令集支持穩(wěn)定而且大量歷史遺留的 .idb 數(shù)據(jù)庫文件就是用這個版本生成的。你拿新版 IDA 去打開有時反而會因為數(shù)據(jù)庫格式升級而丟失注釋或函數(shù)命名。所以“反匯編工具 IDA5.0”這個組合不是懷舊而是一個真實存在的工程需求——你需要一個能跑在老系統(tǒng)上、能讀舊數(shù)據(jù)庫、能快速驗證想法的輕量級反匯編環(huán)境。這篇文章面向的是手里有固件、有樣本、有 CTF 題目但不想被新版授權(quán)和龐大安裝包折騰的從業(yè)者。我會把 IDA5.0 的獲取、安裝、核心操作、腳本擴展和常見翻車點拆開講讓你能直接復現(xiàn)一套可用的分析流程。2. 把 IDA5.0 跑起來安裝、配置與第一個反匯編窗口2.1 為什么選 IDA5.0 而不是新版三個硬理由第一個理由是數(shù)據(jù)庫兼容性。IDA 的 .idb 文件在 5.x 到 6.x 之間有過一次內(nèi)部格式調(diào)整雖然新版能向上兼容但反過來不行。如果你手頭有一批 2005 到 2010 年間做的逆向項目用 IDA5.0 打開是最穩(wěn)妥的。第二個理由是運行環(huán)境。IDA5.0 的安裝包只有幾十兆在 Windows XP、Windows 7 甚至 Wine 下都能跑而新版 IDA 對 .NET 版本和顯卡驅(qū)動有要求。第三個理由是腳本生態(tài)。IDC 腳本在 5.0 里已經(jīng)非常成熟很多老外掛和批量分析腳本都是基于這個版本的 API 寫的你直接拿來改改就能用。提示如果你只是分析 64 位現(xiàn)代樣本直接上新版 IDA 或 Ghidra不要用 5.0 硬扛。IDA5.0 的強項是 32 位和 16 位代碼。安裝過程本身不復雜但有幾個細節(jié)容易翻車。常見做法是從可信的逆向工程資源站下載 IDA5.0 的壓縮包解壓到不含中文和空格的路徑比如C:\ida50。然后運行ida.exe第一次啟動會提示你選擇許可證類型。如果你手里沒有正版授權(quán)社區(qū)里流傳的免費版通常只支持 PE 和 ELF 的 32 位反匯編這對大多數(shù)固件分析已經(jīng)夠用。# 假設你解壓到了 C:\ida50 cd C:\ida50 # 查看目錄結(jié)構(gòu)確認 ida.exe 和 idc 目錄存在 dir # 啟動 IDA 5.0 ida.exe這段命令只是確認安裝完整性。ida.exe是主程序idc目錄下是 IDC 腳本的示例和頭文件。如果你在 Linux 下用 Wine把ida.exe換成wine ida.exe即可。參數(shù)方面IDA5.0 沒有太多啟動參數(shù)但你可以用-A進入自動分析模式用-S指定腳本文件。比如ida.exe -A -Sanalyze.idc target.bin可以在打開文件后自動跑一遍分析腳本。2.2 加載第一個二進制文件從 PE 到裸二進制打開 IDA5.0 后你會看到歡迎界面。點擊 “New” 選擇要分析的文件。如果是 Windows PE 文件IDA 會自動識別格式并加載。如果是嵌入式固件通常是裸二進制你需要手動指定加載地址和處理器類型。這一步是新手最容易卡住的地方。假設你有一個 ARM 架構(gòu)的固件firmware.bin加載地址是0x08000000。操作步驟是File - Open - 選擇firmware.bin- 在彈出的 “Load a new file” 對話框中Processor type 選擇 “ARM”然后點擊 “Set” 按鈕在 “ROM start address” 和 “Loading address” 都填0x08000000。接著點擊 OKIDA 會開始反匯編。# 這是一個 IDC 腳本示例用于在加載后自動標記函數(shù) # 保存為 auto_mark.idc然后在 IDA 中 File - Script file 運行 #include idc.idc static main() { auto addr; auto count 0; // 從 0x08000000 開始遍歷尋找函數(shù)序言 for (addr 0x08000000; addr 0x08100000; addr addr 4) { // 檢查是否是常見的 ARM 函數(shù)開頭push {..., lr} if (GetMnem(addr) PUSH strstr(GetDisasm(addr), LR) ! -1) { MakeFunction(addr); count count 1; } } Message(Marked %d functions.\n, count); }這段腳本的邏輯是遍歷指定地址范圍遇到PUSH指令且操作數(shù)包含LR時認為這是一個函數(shù)入口調(diào)用MakeFunction將其標記為函數(shù)。參數(shù)0x08000000和0x08100000需要根據(jù)你的固件實際地址范圍修改。GetMnem獲取助記符GetDisasm獲取反匯編文本MakeFunction是 IDA 的核心 API。運行后你會在輸出窗口看到標記的函數(shù)數(shù)量。如果數(shù)量為 0說明你的地址范圍不對或者處理器類型選錯了。3. IDA5.0 核心操作交叉引用、重命名與圖形視圖3.1 交叉引用逆向分析的“導航儀”交叉引用是 IDA 最核心的功能之一。當你看到一個函數(shù)被調(diào)用或者一個字符串被引用你需要知道“誰用了它”和“它用了誰”。在 IDA5.0 里快捷鍵X是查看交叉引用的入口。把光標放在一個函數(shù)名或變量上按X會彈出一個窗口列出所有引用該地址的位置。舉個例子你在反匯編窗口里看到一個字符串a(chǎn)dmin想知道哪里比較了這個字符串。光標放在admin上按X如果只有一個引用IDA 會直接跳轉(zhuǎn)過去如果有多個會列出列表。這個操作在分析登錄邏輯時特別有用。常見做法是先找字符串再找引用然后順著引用往上追直到找到判斷分支。// 假設反匯編中看到如下代碼片段 // 0x08001234: CMP R0, #0 // 0x08001236: BEQ loc_08001250 // 0x08001238: LDR R1, aAdmin ; admin // 0x0800123C: MOV R0, R4 // 0x08001240: BL strcmp // 0x08001244: CMP R0, #0 // 0x08001246: BNE loc_08001260這段匯編的邏輯是先比較 R0 是否為 0然后加載admin字符串地址調(diào)用strcmp再判斷返回值。如果你在strcmp處按X可以看到所有調(diào)用strcmp的地方從而快速定位所有字符串比較邏輯。參數(shù)方面X是全局交叉引用CtrlX在某些版本里是查看特定類型的引用。IDA5.0 的交叉引用窗口里p表示程序調(diào)用r表示讀取w表示寫入。3.2 重命名與注釋讓反匯編代碼可讀IDA 自動生成的名稱通常是sub_08001234、loc_08001250、dword_08002000這種讀起來非常痛苦。你需要手動重命名?？旖萱IN是重命名;是添加注釋:是添加可重復注釋。重命名函數(shù)時盡量用有意義的英文比如check_password、decrypt_config。注釋可以寫中文但要注意 IDA5.0 對中文的支持在某些系統(tǒng)上會亂碼建議用英文或拼音。# IDC 腳本批量重命名函數(shù) #include idc.idc static main() { auto addr; // 假設我們已經(jīng)知道幾個關(guān)鍵函數(shù)的地址 RenameAddr(0x08001234, check_password); RenameAddr(0x08001250, decrypt_config); RenameAddr(0x08001260, send_response); // 給特定地址添加注釋 MakeComm(0x08001234, Entry of password check); MakeComm(0x08001250, AES decrypt routine); Message(Renamed and commented.\n); }RenameAddr的第一個參數(shù)是地址第二個參數(shù)是新名稱。MakeComm用于添加注釋。運行后反匯編窗口里的名稱會立即更新。這個腳本適合在分析初期快速標記已知函數(shù)。如果你不知道地址可以先手動重命名幾個然后用GetName和GetFunctionName在腳本里動態(tài)獲取。3.3 圖形視圖與文本視圖的切換IDA5.0 默認是文本視圖但圖形視圖能更直觀地展示控制流。按空格鍵可以在圖形視圖和文本視圖之間切換。圖形視圖里每個基本塊是一個方框箭頭表示跳轉(zhuǎn)。對于復雜的條件分支圖形視圖能幫你快速理清邏輯。但要注意IDA5.0 的圖形視圖在分析大型固件時可能會很卡因為渲染所有基本塊需要大量內(nèi)存。常見做法是先用文本視圖快速瀏覽遇到復雜函數(shù)再切圖形視圖。注意IDA5.0 的圖形視圖不支持鼠標滾輪縮放只能用鍵盤的和-鍵。如果你覺得卡可以在 Options - General 里關(guān)閉 “Auto resize graph”。4. 用 IDC 腳本擴展 IDA5.0批量分析與自動化4.1 IDC 腳本基礎(chǔ)變量、循環(huán)與常用 APIIDC 是 IDA 自帶的腳本語言語法類似 C但不需要編譯直接解釋執(zhí)行。在 IDA5.0 里你可以通過 File - Script file 運行 .idc 腳本也可以在命令行窗口里逐行輸入。IDC 的變量不需要聲明類型直接賦值即可。常用 API 包括ScreenEA()獲取當前光標地址GetDisasm(addr)獲取反匯編文本GetMnem(addr)獲取助記符NextHead(addr)獲取下一個指令地址PrevHead(addr)獲取上一個指令地址。# 遍歷當前函數(shù)的所有指令并打印 #include idc.idc static main() { auto start, end, addr; start GetFunctionAttr(ScreenEA(), FUNCATTR_START); end GetFunctionAttr(ScreenEA(), FUNCATTR_END); if (start -1) { Message(No function at cursor.\n); return; } Message(Function start: 0x%X, end: 0x%X\n, start, end); for (addr start; addr end; addr NextHead(addr)) { Message(0x%X: %s\n, addr, GetDisasm(addr)); } }這段腳本先獲取光標所在函數(shù)的起始和結(jié)束地址然后遍歷每條指令并打印地址和反匯編文本。FUNCATTR_START和FUNCATTR_END是函數(shù)屬性常量。NextHead會跳過數(shù)據(jù)字節(jié)只返回指令地址。這個腳本可以用來導出函數(shù)的完整反匯編清單方便離線分析。4.2 批量提取字符串與交叉引用在分析固件時經(jīng)常需要提取所有字符串并找到它們的引用。IDA5.0 的 Strings 窗口ShiftF12可以列出所有字符串但手動一個個看效率太低。用 IDC 腳本可以批量導出字符串及其引用地址。# 導出所有字符串及其交叉引用 #include idc.idc static main() { auto addr, str, xref; auto fh; fh fopen(strings_xref.txt, w); if (fh 0) { Message(Cannot open output file.\n); return; } // 遍歷所有字符串 for (addr 0; addr 0xFFFFFFFF; addr NextStr(addr)) { str GetString(addr); if (str ) continue; fprintf(fh, String at 0x%X: %s\n, addr, str); // 查找交叉引用 xref RfirstB(addr); while (xref ! BADADDR) { fprintf(fh, Referenced from 0x%X\n, xref); xref RnextB(addr, xref); } } fclose(fh); Message(Export done.\n); }NextStr遍歷所有字符串GetString獲取字符串內(nèi)容RfirstB和RnextB用于遍歷交叉引用。輸出文件strings_xref.txt會包含每個字符串的地址、內(nèi)容和引用位置。這個腳本在分析網(wǎng)絡協(xié)議或配置文件時特別有用。參數(shù)方面0xFFFFFFFF是地址上限對于 32 位固件夠用。如果你的固件地址空間更大需要調(diào)整這個值。4.3 用 IDC 修補二進制與導出補丁IDA5.0 不僅能看還能改。你可以用 IDC 腳本修改指令或數(shù)據(jù)然后導出補丁文件。這在做固件破解或 CTF 題目時很常見。比如你發(fā)現(xiàn)一個條件跳轉(zhuǎn)BEQ導致驗證失敗想把它改成BNE或者直接NOP。# 將指定地址的指令改為 NOP #include idc.idc static main() { auto addr; addr 0x08001236; // 要修改的地址 // ARM 模式下 NOP 是 0x00 0x00 0xA0 0xE1小端序 PatchByte(addr, 0x00); PatchByte(addr 1, 0x00); PatchByte(addr 2, 0xA0); PatchByte(addr 3, 0xE1); Message(Patched at 0x%X\n, addr); }PatchByte用于修改單個字節(jié)。ARM 的 NOP 指令機器碼是E1A00000小端序存儲為00 00 A0 E1。修改后你需要通過 File - Produce file - Create DIF file 導出差異文件或者直接用十六進制編輯器修改原文件。注意IDA5.0 的補丁功能不會自動保存到原文件你必須在 IDA 里應用補丁后用 “Apply patches to input file” 功能寫回。5. 避坑與排查IDA5.0 常見的五個翻車現(xiàn)場5.1 加載裸二進制后全是數(shù)據(jù)沒有代碼現(xiàn)象打開固件后反匯編窗口顯示的都是db偽指令沒有指令。原因加載時處理器類型選錯或者加載地址不對。解決重新加載文件在加載對話框里正確選擇處理器類型比如 ARM、MIPS、PowerPC并確認加載地址與固件實際映射地址一致。如果不確定可以先選 “Binary file” 然后手動指定。5.2 交叉引用窗口為空現(xiàn)象按X后沒有任何引用顯示。原因IDA 還沒有完成自動分析或者該地址確實沒有被引用。解決先按Esc回到反匯編窗口然后等待 IDA 右下角的 “AU:” 進度條走完。如果進度條卡住可以手動觸發(fā)分析Options - General - Analysis - Reanalyze program。另外如果地址是數(shù)據(jù)而不是代碼交叉引用可能只顯示讀取引用需要檢查是否在正確的段里。5.3 IDC 腳本運行報錯 “Undefined variable”現(xiàn)象腳本里用了某個變量但 IDA 提示未定義。原因IDC 是弱類型語言但某些 API 返回值需要先判斷再使用。解決在腳本開頭用auto聲明所有變量或者直接賦值。比如auto addr; addr ScreenEA();。另外IDC 不支持for (auto i 0; ...)這種寫法必須把auto放在循環(huán)外面。5.4 中文注釋亂碼現(xiàn)象在注釋里輸入中文保存后重新打開變成亂碼。原因IDA5.0 默認使用系統(tǒng)編碼而中文 Windows 是 GBK但 IDA 內(nèi)部可能按 Latin-1 處理。解決盡量用英文注釋。如果必須用中文可以在 Options - General - Strings 里把編碼改成 “GBK” 或 “UTF-8”但不同版本行為不一致。血淚經(jīng)驗是中文注釋只在當前會話有效重啟后大概率亂碼重要信息用拼音或英文。5.5 圖形視圖卡死或顯示不全現(xiàn)象切換到圖形視圖后IDA 無響應或者只顯示部分基本塊。原因函數(shù)太大基本塊太多IDA5.0 的圖形引擎處理不過來。解決按空格鍵切回文本視圖。如果必須看圖形可以先用 IDC 腳本把大函數(shù)拆分成多個小函數(shù)或者用CtrlShiftG只顯示當前基本塊。另外關(guān)閉 “Auto resize graph” 選項能減少卡頓。6. 進階技巧用 IDA5.0 做固件差分與版本對比當你手里有兩個版本的固件想知道改了什么IDA5.0 可以配合 IDC 腳本做差分。核心思路是分別加載兩個固件提取函數(shù)地址、名稱和反匯編文本然后對比差異。常見做法是寫一個腳本把每個函數(shù)的起始地址、大小和指令哈希輸出到文件然后用 diff 工具對比。# 導出函數(shù)指紋 #include idc.idc static main() { auto addr, func, fh; fh fopen(func_fingerprint.txt, w); for (addr 0; addr 0xFFFFFFFF; addr NextFunc(addr)) { func GetFunctionName(addr); if (func ) continue; fprintf(fh, 0x%X %s %d\n, addr, func, GetFunctionAttr(addr, FUNCATTR_END) - addr); } fclose(fh); Message(Fingerprint exported.\n); }NextFunc遍歷所有函數(shù)GetFunctionName獲取函數(shù)名FUNCATTR_END獲取結(jié)束地址。輸出文件包含地址、名稱和大小。對兩個固件分別運行這個腳本然后用diff命令對比。如果函數(shù)名相同但大小變了說明函數(shù)邏輯有修改如果地址變了但大小相同可能是代碼移位。這個技巧在分析固件更新時非常實用能快速定位改動點。提示IDA5.0 的NextFunc在某些情況下會跳過未識別的函數(shù)。如果發(fā)現(xiàn)函數(shù)數(shù)量不對先用MakeFunction手動標記可疑區(qū)域。另一個進階用法是結(jié)合 IDA5.0 的 FLIRT 簽名。FLIRT 是 Fast Library Identification and Recognition Technology能自動識別標準庫函數(shù)。在 IDA5.0 里你可以通過 File - Load file - FLIRT signature file 加載 .sig 文件。常見做法是加載vc32rtf.sig識別 Visual C 運行時函數(shù)或者armlib.sig識別 ARM 標準庫。加載后IDA 會把sub_08001234自動重命名為memcpy之類的標準函數(shù)名大大減少分析工作量。最后說一個我自己的習慣每次用 IDA5.0 分析新固件先跑一遍自動分析然后立刻用 IDC 腳本導出所有字符串和函數(shù)列表存成文本。這樣即使 IDA 崩潰或者數(shù)據(jù)庫損壞你還有一份離線記錄。IDA5.0 雖然老但它的穩(wěn)定性和腳本靈活性在特定場景下依然沒有替代品。希望幫到你。本文還有配套的精品資源點擊獲取 反匯編工具IDA5.0實戰(zhàn)：逆向工程與固件分析指南
簡介IDA5.0 是一款經(jīng)典的反匯編與逆向分析工具本資源面向逆向工程初學者、安全研究人員及需要分析二進制程序的開發(fā)者幫助解決可執(zhí)行文件反匯編、靜態(tài)分析與代碼結(jié)構(gòu)還原等需求。壓縮包內(nèi)共114個文件約55.71MB以pat插件文件、exe可執(zhí)行程序、idt與sig簽名庫、bat批處理腳本為主另含idc腳本、dll動態(tài)庫、readme說明文檔及少量源碼與本地化文件覆蓋工具運行、插件擴展與簽名識別等用途。目前已有320人學習下載說明其在逆向入門與老版本工具研究場景中仍具參考價值。通過該資源讀者可獲得一套可直接部署的IDA5.0工作環(huán)境借助簽名庫與插件提升函數(shù)識別效率并利用批處理與腳本文件快速完成啟動配置適合用于惡意樣本分析、漏洞研究及軟件逆向?qū)W習的早期實踐。1. 反匯編工具 IDA5.0為什么老版本反而成了逆向工程的“活化石”如果你在 2024 年還聽到有人用 IDA5.0 做逆向分析第一反應可能是“這人是不是沒網(wǎng)盤”。但實際情況是IDA5.0 作為一款經(jīng)典的反匯編工具至今仍活躍在嵌入式固件分析、老舊工控設備逆向、CTF 逆向題復現(xiàn)以及部分惡意樣本的靜態(tài)分析場景里。原因很直接它體積小、啟動快、對 32 位 x86 和早期 ARM 指令集支持穩(wěn)定而且大量歷史遺留的 .idb 數(shù)據(jù)庫文件就是用這個版本生成的。你拿新版 IDA 去打開有時反而會因為數(shù)據(jù)庫格式升級而丟失注釋或函數(shù)命名。所以“反匯編工具 IDA5.0”這個組合不是懷舊而是一個真實存在的工程需求——你需要一個能跑在老系統(tǒng)上、能讀舊數(shù)據(jù)庫、能快速驗證想法的輕量級反匯編環(huán)境。這篇文章面向的是手里有固件、有樣本、有 CTF 題目但不想被新版授權(quán)和龐大安裝包折騰的從業(yè)者。我會把 IDA5.0 的獲取、安裝、核心操作、腳本擴展和常見翻車點拆開講讓你能直接復現(xiàn)一套可用的分析流程。2. 把 IDA5.0 跑起來安裝、配置與第一個反匯編窗口2.1 為什么選 IDA5.0 而不是新版三個硬理由第一個理由是數(shù)據(jù)庫兼容性。IDA 的 .idb 文件在 5.x 到 6.x 之間有過一次內(nèi)部格式調(diào)整雖然新版能向上兼容但反過來不行。如果你手頭有一批 2005 到 2010 年間做的逆向項目用 IDA5.0 打開是最穩(wěn)妥的。第二個理由是運行環(huán)境。IDA5.0 的安裝包只有幾十兆在 Windows XP、Windows 7 甚至 Wine 下都能跑而新版 IDA 對 .NET 版本和顯卡驅(qū)動有要求。第三個理由是腳本生態(tài)。IDC 腳本在 5.0 里已經(jīng)非常成熟很多老外掛和批量分析腳本都是基于這個版本的 API 寫的你直接拿來改改就能用。提示如果你只是分析 64 位現(xiàn)代樣本直接上新版 IDA 或 Ghidra不要用 5.0 硬扛。IDA5.0 的強項是 32 位和 16 位代碼。安裝過程本身不復雜但有幾個細節(jié)容易翻車。常見做法是從可信的逆向工程資源站下載 IDA5.0 的壓縮包解壓到不含中文和空格的路徑比如C:\ida50。然后運行ida.exe第一次啟動會提示你選擇許可證類型。如果你手里沒有正版授權(quán)社區(qū)里流傳的免費版通常只支持 PE 和 ELF 的 32 位反匯編這對大多數(shù)固件分析已經(jīng)夠用。# 假設你解壓到了 C:\ida50 cd C:\ida50 # 查看目錄結(jié)構(gòu)確認 ida.exe 和 idc 目錄存在 dir # 啟動 IDA 5.0 ida.exe這段命令只是確認安裝完整性。ida.exe是主程序idc目錄下是 IDC 腳本的示例和頭文件。如果你在 Linux 下用 Wine把ida.exe換成wine ida.exe即可。參數(shù)方面IDA5.0 沒有太多啟動參數(shù)但你可以用-A進入自動分析模式用-S指定腳本文件。比如ida.exe -A -Sanalyze.idc target.bin可以在打開文件后自動跑一遍分析腳本。2.2 加載第一個二進制文件從 PE 到裸二進制打開 IDA5.0 后你會看到歡迎界面。點擊 “New” 選擇要分析的文件。如果是 Windows PE 文件IDA 會自動識別格式并加載。如果是嵌入式固件通常是裸二進制你需要手動指定加載地址和處理器類型。這一步是新手最容易卡住的地方。假設你有一個 ARM 架構(gòu)的固件firmware.bin加載地址是0x08000000。操作步驟是File - Open - 選擇firmware.bin- 在彈出的 “Load a new file” 對話框中Processor type 選擇 “ARM”然后點擊 “Set” 按鈕在 “ROM start address” 和 “Loading address” 都填0x08000000。接著點擊 OKIDA 會開始反匯編。# 這是一個 IDC 腳本示例用于在加載后自動標記函數(shù) # 保存為 auto_mark.idc然后在 IDA 中 File - Script file 運行 #include idc.idc static main() { auto addr; auto count 0; // 從 0x08000000 開始遍歷尋找函數(shù)序言 for (addr 0x08000000; addr 0x08100000; addr addr 4) { // 檢查是否是常見的 ARM 函數(shù)開頭push {..., lr} if (GetMnem(addr) PUSH strstr(GetDisasm(addr), LR) ! -1) { MakeFunction(addr); count count 1; } } Message(Marked %d functions.\n, count); }這段腳本的邏輯是遍歷指定地址范圍遇到PUSH指令且操作數(shù)包含LR時認為這是一個函數(shù)入口調(diào)用MakeFunction將其標記為函數(shù)。參數(shù)0x08000000和0x08100000需要根據(jù)你的固件實際地址范圍修改。GetMnem獲取助記符GetDisasm獲取反匯編文本MakeFunction是 IDA 的核心 API。運行后你會在輸出窗口看到標記的函數(shù)數(shù)量。如果數(shù)量為 0說明你的地址范圍不對或者處理器類型選錯了。3. IDA5.0 核心操作交叉引用、重命名與圖形視圖3.1 交叉引用逆向分析的“導航儀”交叉引用是 IDA 最核心的功能之一。當你看到一個函數(shù)被調(diào)用或者一個字符串被引用你需要知道“誰用了它”和“它用了誰”。在 IDA5.0 里快捷鍵X是查看交叉引用的入口。把光標放在一個函數(shù)名或變量上按X會彈出一個窗口列出所有引用該地址的位置。舉個例子你在反匯編窗口里看到一個字符串a(chǎn)dmin想知道哪里比較了這個字符串。光標放在admin上按X如果只有一個引用IDA 會直接跳轉(zhuǎn)過去如果有多個會列出列表。這個操作在分析登錄邏輯時特別有用。常見做法是先找字符串再找引用然后順著引用往上追直到找到判斷分支。// 假設反匯編中看到如下代碼片段 // 0x08001234: CMP R0, #0 // 0x08001236: BEQ loc_08001250 // 0x08001238: LDR R1, aAdmin ; admin // 0x0800123C: MOV R0, R4 // 0x08001240: BL strcmp // 0x08001244: CMP R0, #0 // 0x08001246: BNE loc_08001260這段匯編的邏輯是先比較 R0 是否為 0然后加載admin字符串地址調(diào)用strcmp再判斷返回值。如果你在strcmp處按X可以看到所有調(diào)用strcmp的地方從而快速定位所有字符串比較邏輯。參數(shù)方面X是全局交叉引用CtrlX在某些版本里是查看特定類型的引用。IDA5.0 的交叉引用窗口里p表示程序調(diào)用r表示讀取w表示寫入。3.2 重命名與注釋讓反匯編代碼可讀IDA 自動生成的名稱通常是sub_08001234、loc_08001250、dword_08002000這種讀起來非常痛苦。你需要手動重命名?？旖萱IN是重命名;是添加注釋:是添加可重復注釋。重命名函數(shù)時盡量用有意義的英文比如check_password、decrypt_config。注釋可以寫中文但要注意 IDA5.0 對中文的支持在某些系統(tǒng)上會亂碼建議用英文或拼音。# IDC 腳本批量重命名函數(shù) #include idc.idc static main() { auto addr; // 假設我們已經(jīng)知道幾個關(guān)鍵函數(shù)的地址 RenameAddr(0x08001234, check_password); RenameAddr(0x08001250, decrypt_config); RenameAddr(0x08001260, send_response); // 給特定地址添加注釋 MakeComm(0x08001234, Entry of password check); MakeComm(0x08001250, AES decrypt routine); Message(Renamed and commented.\n); }RenameAddr的第一個參數(shù)是地址第二個參數(shù)是新名稱。MakeComm用于添加注釋。運行后反匯編窗口里的名稱會立即更新。這個腳本適合在分析初期快速標記已知函數(shù)。如果你不知道地址可以先手動重命名幾個然后用GetName和GetFunctionName在腳本里動態(tài)獲取。3.3 圖形視圖與文本視圖的切換IDA5.0 默認是文本視圖但圖形視圖能更直觀地展示控制流。按空格鍵可以在圖形視圖和文本視圖之間切換。圖形視圖里每個基本塊是一個方框箭頭表示跳轉(zhuǎn)。對于復雜的條件分支圖形視圖能幫你快速理清邏輯。但要注意IDA5.0 的圖形視圖在分析大型固件時可能會很卡因為渲染所有基本塊需要大量內(nèi)存。常見做法是先用文本視圖快速瀏覽遇到復雜函數(shù)再切圖形視圖。注意IDA5.0 的圖形視圖不支持鼠標滾輪縮放只能用鍵盤的和-鍵。如果你覺得卡可以在 Options - General 里關(guān)閉 “Auto resize graph”。4. 用 IDC 腳本擴展 IDA5.0批量分析與自動化4.1 IDC 腳本基礎(chǔ)變量、循環(huán)與常用 APIIDC 是 IDA 自帶的腳本語言語法類似 C但不需要編譯直接解釋執(zhí)行。在 IDA5.0 里你可以通過 File - Script file 運行 .idc 腳本也可以在命令行窗口里逐行輸入。IDC 的變量不需要聲明類型直接賦值即可。常用 API 包括ScreenEA()獲取當前光標地址GetDisasm(addr)獲取反匯編文本GetMnem(addr)獲取助記符NextHead(addr)獲取下一個指令地址PrevHead(addr)獲取上一個指令地址。# 遍歷當前函數(shù)的所有指令并打印 #include idc.idc static main() { auto start, end, addr; start GetFunctionAttr(ScreenEA(), FUNCATTR_START); end GetFunctionAttr(ScreenEA(), FUNCATTR_END); if (start -1) { Message(No function at cursor.\n); return; } Message(Function start: 0x%X, end: 0x%X\n, start, end); for (addr start; addr end; addr NextHead(addr)) { Message(0x%X: %s\n, addr, GetDisasm(addr)); } }這段腳本先獲取光標所在函數(shù)的起始和結(jié)束地址然后遍歷每條指令并打印地址和反匯編文本。FUNCATTR_START和FUNCATTR_END是函數(shù)屬性常量。NextHead會跳過數(shù)據(jù)字節(jié)只返回指令地址。這個腳本可以用來導出函數(shù)的完整反匯編清單方便離線分析。4.2 批量提取字符串與交叉引用在分析固件時經(jīng)常需要提取所有字符串并找到它們的引用。IDA5.0 的 Strings 窗口ShiftF12可以列出所有字符串但手動一個個看效率太低。用 IDC 腳本可以批量導出字符串及其引用地址。# 導出所有字符串及其交叉引用 #include idc.idc static main() { auto addr, str, xref; auto fh; fh fopen(strings_xref.txt, w); if (fh 0) { Message(Cannot open output file.\n); return; } // 遍歷所有字符串 for (addr 0; addr 0xFFFFFFFF; addr NextStr(addr)) { str GetString(addr); if (str ) continue; fprintf(fh, String at 0x%X: %s\n, addr, str); // 查找交叉引用 xref RfirstB(addr); while (xref ! BADADDR) { fprintf(fh, Referenced from 0x%X\n, xref); xref RnextB(addr, xref); } } fclose(fh); Message(Export done.\n); }NextStr遍歷所有字符串GetString獲取字符串內(nèi)容RfirstB和RnextB用于遍歷交叉引用。輸出文件strings_xref.txt會包含每個字符串的地址、內(nèi)容和引用位置。這個腳本在分析網(wǎng)絡協(xié)議或配置文件時特別有用。參數(shù)方面0xFFFFFFFF是地址上限對于 32 位固件夠用。如果你的固件地址空間更大需要調(diào)整這個值。4.3 用 IDC 修補二進制與導出補丁IDA5.0 不僅能看還能改。你可以用 IDC 腳本修改指令或數(shù)據(jù)然后導出補丁文件。這在做固件破解或 CTF 題目時很常見。比如你發(fā)現(xiàn)一個條件跳轉(zhuǎn)BEQ導致驗證失敗想把它改成BNE或者直接NOP。# 將指定地址的指令改為 NOP #include idc.idc static main() { auto addr; addr 0x08001236; // 要修改的地址 // ARM 模式下 NOP 是 0x00 0x00 0xA0 0xE1小端序 PatchByte(addr, 0x00); PatchByte(addr 1, 0x00); PatchByte(addr 2, 0xA0); PatchByte(addr 3, 0xE1); Message(Patched at 0x%X\n, addr); }PatchByte用于修改單個字節(jié)。ARM 的 NOP 指令機器碼是E1A00000小端序存儲為00 00 A0 E1。修改后你需要通過 File - Produce file - Create DIF file 導出差異文件或者直接用十六進制編輯器修改原文件。注意IDA5.0 的補丁功能不會自動保存到原文件你必須在 IDA 里應用補丁后用 “Apply patches to input file” 功能寫回。5. 避坑與排查IDA5.0 常見的五個翻車現(xiàn)場5.1 加載裸二進制后全是數(shù)據(jù)沒有代碼現(xiàn)象打開固件后反匯編窗口顯示的都是db偽指令沒有指令。原因加載時處理器類型選錯或者加載地址不對。解決重新加載文件在加載對話框里正確選擇處理器類型比如 ARM、MIPS、PowerPC并確認加載地址與固件實際映射地址一致。如果不確定可以先選 “Binary file” 然后手動指定。5.2 交叉引用窗口為空現(xiàn)象按X后沒有任何引用顯示。原因IDA 還沒有完成自動分析或者該地址確實沒有被引用。解決先按Esc回到反匯編窗口然后等待 IDA 右下角的 “AU:” 進度條走完。如果進度條卡住可以手動觸發(fā)分析Options - General - Analysis - Reanalyze program。另外如果地址是數(shù)據(jù)而不是代碼交叉引用可能只顯示讀取引用需要檢查是否在正確的段里。5.3 IDC 腳本運行報錯 “Undefined variable”現(xiàn)象腳本里用了某個變量但 IDA 提示未定義。原因IDC 是弱類型語言但某些 API 返回值需要先判斷再使用。解決在腳本開頭用auto聲明所有變量或者直接賦值。比如auto addr; addr ScreenEA();。另外IDC 不支持for (auto i 0; ...)這種寫法必須把auto放在循環(huán)外面。5.4 中文注釋亂碼現(xiàn)象在注釋里輸入中文保存后重新打開變成亂碼。原因IDA5.0 默認使用系統(tǒng)編碼而中文 Windows 是 GBK但 IDA 內(nèi)部可能按 Latin-1 處理。解決盡量用英文注釋。如果必須用中文可以在 Options - General - Strings 里把編碼改成 “GBK” 或 “UTF-8”但不同版本行為不一致。血淚經(jīng)驗是中文注釋只在當前會話有效重啟后大概率亂碼重要信息用拼音或英文。5.5 圖形視圖卡死或顯示不全現(xiàn)象切換到圖形視圖后IDA 無響應或者只顯示部分基本塊。原因函數(shù)太大基本塊太多IDA5.0 的圖形引擎處理不過來。解決按空格鍵切回文本視圖。如果必須看圖形可以先用 IDC 腳本把大函數(shù)拆分成多個小函數(shù)或者用CtrlShiftG只顯示當前基本塊。另外關(guān)閉 “Auto resize graph” 選項能減少卡頓。6. 進階技巧用 IDA5.0 做固件差分與版本對比當你手里有兩個版本的固件想知道改了什么IDA5.0 可以配合 IDC 腳本做差分。核心思路是分別加載兩個固件提取函數(shù)地址、名稱和反匯編文本然后對比差異。常見做法是寫一個腳本把每個函數(shù)的起始地址、大小和指令哈希輸出到文件然后用 diff 工具對比。# 導出函數(shù)指紋 #include idc.idc static main() { auto addr, func, fh; fh fopen(func_fingerprint.txt, w); for (addr 0; addr 0xFFFFFFFF; addr NextFunc(addr)) { func GetFunctionName(addr); if (func ) continue; fprintf(fh, 0x%X %s %d\n, addr, func, GetFunctionAttr(addr, FUNCATTR_END) - addr); } fclose(fh); Message(Fingerprint exported.\n); }NextFunc遍歷所有函數(shù)GetFunctionName獲取函數(shù)名FUNCATTR_END獲取結(jié)束地址。輸出文件包含地址、名稱和大小。對兩個固件分別運行這個腳本然后用diff命令對比。如果函數(shù)名相同但大小變了說明函數(shù)邏輯有修改如果地址變了但大小相同可能是代碼移位。這個技巧在分析固件更新時非常實用能快速定位改動點。提示IDA5.0 的NextFunc在某些情況下會跳過未識別的函數(shù)。如果發(fā)現(xiàn)函數(shù)數(shù)量不對先用MakeFunction手動標記可疑區(qū)域。另一個進階用法是結(jié)合 IDA5.0 的 FLIRT 簽名。FLIRT 是 Fast Library Identification and Recognition Technology能自動識別標準庫函數(shù)。在 IDA5.0 里你可以通過 File - Load file - FLIRT signature file 加載 .sig 文件。常見做法是加載vc32rtf.sig識別 Visual C 運行時函數(shù)或者armlib.sig識別 ARM 標準庫。加載后IDA 會把sub_08001234自動重命名為memcpy之類的標準函數(shù)名大大減少分析工作量。最后說一個我自己的習慣每次用 IDA5.0 分析新固件先跑一遍自動分析然后立刻用 IDC 腳本導出所有字符串和函數(shù)列表存成文本。這樣即使 IDA 崩潰或者數(shù)據(jù)庫損壞你還有一份離線記錄。IDA5.0 雖然老但它的穩(wěn)定性和腳本靈活性在特定場景下依然沒有替代品。希望幫到你。本文還有配套的精品資源點擊獲取