IDA+Pro使用教程（中文）.pdf

发布时间：2022-05-30 发布人：admin 分类：说明书资料大小：2.93M 资料格式：pdf 举报版权申诉

tom_jack_son-3697299-4744300845377396522.pdf-第1页.png

第1页 / 共10页

tom_jack_son-3697299-4744300845377396522.pdf-第2页.png

第2页 / 共10页

tom_jack_son-3697299-4744300845377396522.pdf-第3页.png

第3页 / 共10页

tom_jack_son-3697299-4744300845377396522.pdf-第4页.png

第4页 / 共10页

tom_jack_son-3697299-4744300845377396522.pdf-第5页.png

第5页 / 共10页

tom_jack_son-3697299-4744300845377396522.pdf-第6页.png

第6页 / 共10页

tom_jack_son-3697299-4744300845377396522.pdf-第7页.png

第7页 / 共10页

tom_jack_son-3697299-4744300845377396522.pdf-第8页.png

第8页 / 共10页

文本预览

使用 IDA 的调试器这个小教程简单介绍了 IDA 调试器的主要功能。它支持本地或远程调试 x86、AMD64 的 Windows PE 文件，及 x86 的 Linux ELF 文件。现在让我们看一下如何调试一个在 Windows 下编译的小的 C 语言控制台程序。一个小 bug 程序这个小程序只是简单的计算了一下一组数据（1,2,3,4,5）的平均值。这组数据被保存在两个数组里，一个是 8bit 的数值，一个是 32bit 数值表示。 #include char char_average(char array[], int count) { int i; char average; average = 0; for (i = 0; i < count; i++) average += array[i]; average /= count; return average; } int int_average(int array[], int count) { int i, average; average = 0; for (i = 0; i < count; i++) average += array[i]; average /= count; return average; } void main(void) { char chars[] = { 1, 2, 3, 4, 5 }; int integers[] = { 1, 2, 3, 4, 5 }; printf("chars[] - average = %d\n", char_average(chars, sizeof(chars))); printf("integers[] - average = %d\n", int_average(integers, sizeof(integers)));

} 运行它，我们得到如下结果： chars[] - average = 3 integers[] - average = 1054228 可以看出在整数方式下计算的结果是错误的，我们用 IDA 的调试器来分析一下吧。装入文件调试器被完美的集成在 IDA 中，首先我们使用 IDA 装入文件，来生成数据库，用户可以使用反汇编功能，所有反汇编的信息，均可以在调试器中使用。如果反汇编的文件被调试器正确识别，调试器的菜单将自动出现在 IDA 的主窗口中。

指令断点首先我们在反汇编窗口中找到 int_average()这个函数，我们在程序前导部分（指程序开始的一些初始化等）的后面下断点，可以使用右键菜单中的 Add Breakpoint 的命令，或使用快捷键 F2。

程序运行现在我们开始执行这个程序。首先使用相应的图标打开调试器窗口，然后运行这个文件直到它到达断点，我们可以使用快捷键 F9，或使用调试工具条上的 Start 按钮。

堆栈 IDA-ESP 窗口现在列出了我们感兴趣的函数的堆栈结构，我们很容易就找到了函数 int_average（）的整数数组参数，它指向了在 main()的整数数组 integers[]。监视我们可以添加监视，通过监视观察在程序执行过程中数据的变化。

地址分析通过分析汇编代码，我们可以知道计算累加和的循环所在，它将计算结果保存在 EBX 中， [EBX+EAX*4]明显的指明 EBX 是数组的开始地址，EAX 是数组的索引，这样它就可以定位到数组中的每一项。单步跟踪让我们继续一步一步的跟踪这个循环。通过使用调试工具条上的按钮或用快捷键F8，有时， IDA 会用绿箭头指示调转命令的调转方向和位置。

找到 Bug 现在让我们看一下 ESI 值，每轮循环时，EAX 都要与 ESI 比较，我们可以判别 ESI 是循环总轮数，但我们也注意到 ESI 中有一个奇怪的数据 14h(=20)，而我们的数组只有 5 个成员。我们已经找到问题所在了… …

硬件断点为了确认这个问题，我们使用硬件断点，就设在我们 intergers 这个数组最后一个成员的后面（事实上，就是在chars 这个数组的第一个成员上）。如果我们在实行intergers 的循环断到了这里，说明我们的循环读取了 intergers 这个数组之外的数据。我们在这里下硬件的 4 字节（一个整数的大小）访问断点。正如我们猜测的，当我们继续运行，它确实执行了对 chars 数组的访问操作。注意，此时 EIP 执行导致硬件中断的后一条指令上。

分享到：

赞收藏

资料库

IDA+Pro使用教程（中文）.pdf

相关推荐

开发技术

热门标签

最新资料