IDA Pro

世界上最優(yōu)秀的靜態(tài)逆向工具沒有之一，IDA PRO簡稱IDA（Interactive Disassembler） ，是一個世界頂級的交互式反匯編工具。在破解領(lǐng)域它是威名震天的強(qiáng)大工具，主要用在反匯編和動態(tài)調(diào)試等方面，另外它的分析技術(shù)是最為稱贊的一點。

OD（OllyDbg）和IDA Pro這兩款工具分別是調(diào)試逆向的倚天劍和屠龍刀。

雖然兩者都兼容動態(tài)和靜態(tài)的調(diào)試方式，但就動態(tài)調(diào)試而言，OD更為靈活和強(qiáng)大，而靜態(tài)調(diào)試工具的王者理所應(yīng)當(dāng)是功能極為強(qiáng)大的IDA Pro。

 一個高效的反匯編工具：

當(dāng)你運行IDA Pro時，你所最先注意到的是它的界面比w32dasm更加專業(yè)，這里比w32dasm有更多的選項或更先進(jìn)的地方。它的優(yōu)點是可以更好的反匯編和更有深層分析。而缺點是使用IDA更困難。 
實際上IDA同w32dasm有很多相同的功能：可以快速到達(dá)指定的代碼位置；可以看到跳到指定的位置的jmp的命令位置；可以看參考字符串；可以保存靜態(tài)匯編等。 
現(xiàn)在讓我們運行和反匯編一個小程序（我使用starclean.exe）一個窗口彈出來，那里有很多選項，不要動它，僅僅點擊OK。讓IDA來分析，當(dāng)它結(jié)束后在name的選項中同w32dasm中參考字符串一樣，查找"a"字符。在name窗口中搜索欄中按a，然后開始查找，一旦找到，按enter或雙擊它，它就將到達(dá)正確的位置。按ctrl+enter將到達(dá)下一個位置。參考字符串就在光標(biāo)附近。IDA就可以到達(dá)相應(yīng)的位置了。 

另一個大的優(yōu)點是IDA可以轉(zhuǎn)換變量。你可以雙擊變量以找到它們保存的地址處: lea edi, [esp+1B8h+var_104]。 
功能中最有用的之一是使用近似查找。很容易解釋：IDA盡力記住寄存器所關(guān)聯(lián)的庫函數(shù)。

IDA另一個優(yōu)點（快速相加）: 
1. 能夠?qū)�w32dasm無法反匯編的最難的軟件進(jìn)行反匯編（如加殼程序） 
2. 能夠以.asm .sym 和甚至是 .exe及其它文件形式保存 
3. 壓縮的靜態(tài)匯編，可以節(jié)省大量的磁盤空間。 
4. 可以重命名函數(shù) 
5. 能夠分析巨大的程序 

IDA Pro怎么用？

IDA Pro的靜態(tài)反匯編功能非常強(qiáng)大，包括標(biāo)注、分割匯編指令、交叉引用等功能與簡潔的可視化控制流圖（CFG）。在這些強(qiáng)大功能的支持下，大大加速了逆向分析人員分析二進(jìn)制代碼的進(jìn)程。為了簡要地展示IDA Pro的功能，我們用它反匯編一個示例的PE格式可執(zhí)行二進(jìn)制文件。

首先，載入名為reverse的二進(jìn)制文件，IDA Pro支持多種處理器對應(yīng)的機(jī)器碼，可以自動識別二進(jìn)制執(zhí)行文件運行的平臺。

然后，IDA Pro開始反匯編這個二進(jìn)制文件，分析介紹之后，窗口默認(rèn)停留在程序的入口處，如圖2-3所示。

左邊窗口顯示的是IDA Pro所識別的所有函數(shù)，目前所在的是start函數(shù)。居中的是匯編指令，已經(jīng)自動分割成各個基本代碼塊（BBL）。最右邊的是各個代碼塊組成的這個函數(shù)的控制流程圖（CFG）。按空格鍵可以從這個圖形反匯編視圖切換到反匯編代碼視圖，如圖2-4所示。

IDA Pro就像提供了一張二進(jìn)制的地圖，標(biāo)注了系統(tǒng)函數(shù)以及分析人員注解的函數(shù)調(diào)用，同時展現(xiàn)出各級函數(shù)和代碼塊之間的調(diào)用關(guān)系。此外，IDA Pro的擴(kuò)展性能很好，可以利用IDA Pro提供的API接口和IDC腳本來擴(kuò)展應(yīng)用，而且相關(guān)擴(kuò)展的插件和腳本產(chǎn)生的數(shù)據(jù)庫文件可以直接導(dǎo)入OllyDbg、Binary Diffing等工具中使用。如圖2-5所示，大名鼎鼎的Hex-Rays插件可以直接反編譯生成C代碼，只要按F5即可。

在逆向工程，IDA pro已經(jīng)日漸成為分析人員必備的工具之一。在本書中，我們將利用它來定位安全漏洞的匯編代碼位置，結(jié)合其呈現(xiàn)的代碼調(diào)用關(guān)系來理解漏洞的機(jī)理。