使用VC6.0创建一个新的控制台项目

编译为2个版本的调试和发布

您应该查看该程序的2个版本

IDA的较高版本可以直接位于功能入口。在正常情况下，我们需要首先调试并找到关键。找到关键点后，然后通过调试来设置API断点，读取和写入断点等，并找到程序的关键点。我们将逆转。从一开始到末尾，很少有功能从主函数逆转。通常，我们将阻止一个关键点，查看密钥函数，并查看如何处理密钥函数。因此，我们需要首先调试并与IDA打开。

IDA可以通过快捷键G输入地址，然后单击Enter，跳到地址，按ESC键返回原始地址

找函数入口

必须是ADI的低版本，并且更高版本将自动为您找到它

使用VS2019构建控制台程序

Release

单击第二个JMP，然后向下搜索以找到3个推动。以下是调用，这意味着呼叫是主函数。双击更改呼叫以查找主要功能

Debug

右键单击以选择代码视图

调试，然后有2个呼叫，第二个电话类似于JMP的发行版本

双击搜索

查找Mian功能主要需要关键点

通常，出口是主要功能

2个呼叫出口是主要功能

另一种方法是找到分支结构，分支结构的末端是

3推

快捷键n可以重命名功能名称

IDA的使用

IDA在调试版本和发行版本可执行文件之间有区别。通常，调试可执行文件可以识别符号，但是发行版本无法识别它们。IDB文件：IDA生成的文件，该文件存储注释和其他信息。 IDA has its own set of naming rules after analysis, as follows: Subprogram sub_address label: loc_label local variable: sub: subprogram loc: label arg: parameter lpMem: memory first address var: local variable byte and other types: global variable

IDA常用快捷键

Ctrl + \’+\’ — Expand code N — Modify the name, modify one place, and other places will also follow D — Modify the data type definition alt + d-添加数据类型定义C-解析A-通过ASCII字符串解析，如果您需要将其解析为其他类型的字符串，请在编辑字符串中设置； – 添加注释shift + f5（:View打开子视图签名）：添加新签名- 右键单击\’应用新签名\’选择一个新的signature.sig文件

规避花指令

d and c keys cossorate

int main（int argc，char* argv []）{int n=6; scanf（\’d\’，n）; __asm {jnp next jp next _emit0xe9 //_emit等于db next:} printf（\’Hello World！D \\ n\’，n）;返回0;} VC不支持DB

上面的代码显然表明它是不合理的。跳到+1位置，等同于指令的中间，因此必须有一个花教学。

选择401010按D键将解释作为数据

选择40101E并按C键，然后强制将其解释为代码。这等同于跳过代码10101D的线

代码解读

安全选项是防止溢出。它是主要功能{}。在返回地址之前，有一个类似于检查值的全局变量。它的值与线程ID，过程ID，内核号和系统时间有关。它进入函数后，其值就会立即设置。

IDA窗口

名称窗口d代表数据f代表函数i代表导入以a代表字符串41开始

IDA函数名称识别

通过IDA，您可以看到一些信息已识别，但是未识别某些信息

单击下面输入以下经验的人可以发现它是一个printf函数。没有经验的人可以通过IDA的签名函数自动识别它。

签名简介

IDA可以识别功能名称和参数以及其他信息。 IDA使用SIG文件来识别已知功能信息。安装IDA时，已将常用的库已放入SIG文件中，并将其放置在安装目录的SIG文件夹中。功能签名：SIG文件也成为签名文件：此功能可用于识别第三方提供的库功能，从而简化分析过程。以低频C库作为示例。

1. 低版本库函数实现位置：

以VC6.0为例：/VC98/lib

各种C库函数的实现，缩写规则：无缩写- 静态库原始版本D-调试调试版本I-此实现在动态链接库中，MSVCRT.DLL，在DLL MT -MT-多线程版本中实现，IDA版本可以添加了新的关键区域处理，添加了新的关键区域。

检查有多少个OBJ的链接选项可用于lib：link -lib /list libc.lib

注：如果在此之前调用主函数，则表示它是多线程的

2. link中 -lib链接选项

-LIB命令用于静态库版本，常用命令选项：列表：您可以查看指定的LIB中包含的OBJ。用例：link -lib /list libc.lib。提取：从指定的lib提取函数。用例：link -lib /extract:build \\ stel \\ st_obj \\ xxx.obj libc.lib（将提取并生成xxx.obj文件）。使用IDA打开libc.lib并找到printf的实现

（1）IDA签名手动制作

通过CMD提取obj

链接-lib视图对应命令

link -lib /list libc.lib查看libc.lib中的所有.OBJ信息

找到通往printf.obj的完整路径

链接-lib /extract:build \\ stel \\ st_obj \\ printf.obj libc.lib rectract obj file

与IDA打开printf.obj

它已转换为机器代码。 +标志意味着尚未显示。它通常显示5个字节或8个字节，具体取决于您的屏幕宽度。

将其更改为5个字节。要添加功能，您需要添加机器代码序列，并且与地址无关。因此，以下53、56 BE .固定的机器说明等可以用作特征代码。 6c 00 00 00 .无法使用这种类型的地址，因为一旦环境发生变化，地址就会发生变化，因此需要使用通配符。它太累了，无法手动提起它，因此需要工具。

1. 需要的工具

pcf.exe：提取功能代码命令：pcf.exe [lib文件中的obj路径]要提取的lib文件的原理：对于二进制提取功能代码，请使用通配符字符而不是重置数据。 sigmake.exe：持续在.pat特征文件的SIG签名文件中注意：这两个工具都需要添加环境变量。

2. 提取特征及签名

特征代码：可以用作特征代码的示例：固定的机器代码。不作为特征代码的示例：偏移值。通配符：请勿指定长度=（. 1的两个点）; 1:1长度=？提取功能工具：pcf.exe（D: \\ idapro75 \\ flair \\ binn）此路径需要配置为环境变量

提取功能步骤：1.CMD提取功能：PCF XXX.OBJ（将生成xxx.pat文件）; 2。将.pat文件发送到文本编辑器：pcf xxx.obj（将生成xxx.pat文件）;

签名步骤：sigmake -n\’myprintf\’printf.pat printf.sig（将生成xxx.sig文件）; sigmake -n\’mysig for printf\’ *.pat allsigname.sig（当前目录中的所有.pat able to 1。sig）;在IDA中添加一个签名，标题#FUNC项目表示该签名已多次使用。

printf函数示例：

注意：IDA的较高版本可以直接提取生产LIB中的所有特征代码和签名。

a.高版本IDA工具制作lib签名

更高版本可以直接创建LIB签名指令：PCF [lib名称] .lib原因：PCF自动识别它是否为LIB。 If it is lib, call plb.exe to ignore the name command: sigmake -r [pat signature].pat [sig signature name].sig

（2）IDA签名自动制作

Use the scripting language lib2sig.bat Use case: cmd command –lib2sig The following problem occurs during the operation of libc, because the function is not 32-bit, press Enter to skip it

run.bat用例：cmd命令- 运行libcmd1_OBJSCD1_OBJSFOR /f %% i（\’link -lib /list1.lib\’）do link -lib /defter:ii1.libfor %% i in（ *.obj）in（ *。功能，但用于商业分析

PCF.exe脱壳

ESP UNSHELLED 32位程序在32位系统下未壳和64位计划在64位系统下取消剥离

方法1

保存环境

然后，当您到达入口点时，环境肯定会恢复

恢复环境肯定会访问此数据，并且下一个数据访问断点就足够了。

原始入口在入口前有2个retn。可以看出，这是一个aspack壳

从原始的输入环境中，该程序以BC ++编写，因为JMP跳跃，并且跳过了一组字符串

方法二：

因为它是Aspack外壳，您可以直接搜索并找到2个RETS，

不确定哪一个是断点

破碎的是

到达入口点时离开外壳

只要模拟模拟图像，就可以完成仿真加载，许多保护系统将失败（部分属性恢复，环境恢复）。将目标可执行文件的二进制数据放入加载程序中。加载程序不会读取文件，而是直接读取大型数组，即是外壳。