恶意代码分析-Lab05-01.dll文件分析.pdfVIP

ida使用笔记

笔记本：逆向笔记

创建时间：2022/10/910:53

一、常见使用方法

二、案例分析

一、常见使用方法

虽然经常用ida但是从来没有花时间去系统的学习下该工具使用，最近正好有机会接触，就

简单记录下一些常见的使用方法，当加载可执行文件时，ida会识别该文件的格式以及处理

架构，文件通常为x86架构上运行的pe格式文件，当加载文件时，ida像操作系统加载一

样，将文件映射到内存中，利用ida加载可执行文件，弹出如下对话框

第一红框内表示加载文件的类型，第一个选项为可执行的pe文件，第二个选项为dos下pe

文件，在进行恶意文件加载时建议选择binaryfile,因为恶意代码有时会带有shellcode、其

他数据、加密参数等，甚至一些合法的可执行文件都可能会含有恶意代码，当运行此类可

执行文件时，恶意代码并不会加载到内存中，选择该项可将一些含有shellcode的原始二进

制文件加载并进行反汇编。

第二个红框为系统类型，本次案例是运行在Intelx86架构上，所以此处选择intel80x86

在进行分析时可能会出现加载的ida加载的地址和动态加载的不通，这可能是文件被基地址

重定向原因，可通过manualload进行手动指定基地址

默认情况下ida的反汇编不包含pe头或资源节，加载完成后进入反汇编窗口，默认为图形模

式

空格切换为文本模式内存地址，.text为节名，左侧部分为箭头窗口，虚线标

记了条件条状，实线标记了无条件跳转，

默认打开字体较小，可通过options--font进行字体修改

开启注释功能

返回默认视图：

windowsresetdesktop

浏览历史：

利用前进后退按钮，来查看历史记录

函数窗口：