IDA Pro逆向入门：从静态分析到异或校验Key反算

简介《IDA Pro反汇编工具初识及逆向工程解密实战1》是一份面向网络安全初学者与逆向工程入门者的PDF笔记围绕IDA Pro这一交互式反汇编工具展开帮助读者建立从工具界面、工程加载到程序分析的基本认知并借助一个EXE实例理解逆向解密的大致流程。内容涉及IDA View、Hex View、Strings窗口与文件类型识别等基础操作也提到CrackMe类练习题的调试思路适合作为工具入门与实操衔接的参考材料。资源包共1个PDF文件大小约5.5MB单文件便于在电脑端直接阅读和随查随用。目前已有1662人学习说明其在逆向入门群体中具备一定参考价值。读者可从中获得工具使用的入门路径、PE文件装载与数据库机制的认识以及简单逆向案例的分析步骤为后续练习CrackMe和深入学习加密解密打下基础。1. 手上只有 exe 时先打开 IDA Pro源码丢了手上只剩一个 exe程序启动先让你输入一串 key输错就退出——这种场面里IDA Pro 反汇编工具通常是最先该打开的东西。它把二进制还原成汇编再按 F5 给出接近 C 的伪代码让你不运行程序也能看清校验分支是怎么走的。这份笔记拆的是一条完整的逆向工程入门路径从 IDA 的安装、装载 PE、认清几个关键窗口到一个用异或做校验的自编译样本一步步把九字符 key 从 exe 里反算出来。适合刚接触二进制分析、看得懂 C 但一进汇编就发懵的人也适合想给团队补一份可复现上手流程的从业者。所有操作都在自己编译的样本上做别拿来源不明的程序练手。2. 装载 PE 与 IDB 数据库从双击 exe 到能下手的分析现场2.1 先静态后动态为什么第一步不是上调试器很多人第一次接触逆向习惯直接挂调试器单步跟。这个路子能走通但代价是你要对程序的每一次执行负责反调试检测、时间戳校验、多线程竞争任何一个都会让调试器在半路停住。静态反汇编的好处是程序根本没跑起来你在一个只读的分析现场里翻结构改坏了也只是数据库的事重开一份就行。IDA 的核心竞争力不在“能反汇编”而在“交互式数据库”。你给函数改的名字、加的注释、标的类型、拉出来的结构体全部写进数据库下次打开接着干。同一份二进制被三个人分析过各自的数据库还能互相参考。它的交叉引用谁调用了这个函数、这个全局变量被哪些指令读过是纯命令行工具给不了的这也是我一般建议新手先把 IDA 用熟、再去碰其他工具的原因。代价也要说清楚静态分析看不到运行时才解密出来的东西也不告诉你某个分支实际会不会走。所以合理的顺序是——IDA 里把函数边界、字符串引用、校验逻辑摸清形成假设再决定要不要动态验证。反过来先动态再静态往往是一堆断点打完还不知道自己在哪。2.2 安装与首次启动三个入口别选错安装过程是下一步式不需要额外配置。装完之后目录里会有两个可执行程序分别对应 32 位和 64 位程序的分析。这个区分不是摆设拿 64 位版本去开 32 位 PE要么直接报错要么装载后地址和调用约定全乱。我的习惯是先判定目标位数再决定点哪个图标别靠试。首次启动会弹一个支持信息框点确认过去就行。接着是加载界面这里给了三个入口New弹出标准文件对话框选一个文件新建分析Go先开一个空白工作区之后把文件拖进来Previous列出最近打开过的文件新手容易在 Go 上绕圈——空白工作区拖文件进去装载选项那一屏很容易被跳过默认配置不一定合适。选 New 走完整流程更稳。2.3 装载 PE 时 IDA 到底做了什么选中 exe 之后进入装载窗口格式识别为 PE下面列出这个文件的各个节代码块、数据块、资源块、输入表、输出表。窗口里还有一批装载选项包括是否创建段、是否加载资源、是否重命名动态库条目、是否手动指定装载基址。这些默认值对绝大多数样本都合适除非你在做壳或者手工修复否则不要动。点确认后IDA 的反汇编分两个阶段跑。第一阶段把代码和数据分开识别函数边界标记参数调用、跳转目标和指令之间的关系第二阶段如果认出了编译类型就装载对应的编译器特征文件按特征给库函数赋名——你看到的一堆sub_401000里突然冒出几个像模像样的名字就是这个阶段干的活。整个过程中 IDA 在后台建数据库所以第一次装载会比后面打开数据库慢不少这是正常的。2.4 IDB 不是单个文件四个伴生文件的分工保存下来的数据库不是一个文件而是一组。装载完成后 IDA 会在同目录生成若干伴生文件它们的分工大致是这样文件作用.id0二叉树形式组织的数据库主体节点、交叉引用都在里面.id1程序字节标识相关数据用于增量比对.nam名称窗口的索引信息函数名、变量名的检索靠它.til当前数据库的本地类型定义结构体和枚举的类型信息.idb / .i64打包后的数据库文件32 位与 64 位后缀不同只拷.idb通常够用但如果要跟别人交换分析状态、又想保留类型定义把整组文件一起打包更保险。我吃过一次亏只发了一个 idb 过去对面打开后结构体全成了裸偏移等于白分析。2.5 装载前先判位数别靠猜判断 PE 是 32 位还是 64 位不用装额外工具读文件头里的 Machine 字段就行。下面这段脚本直接读 PE 签名后的两个字节import struct def pe_machine(path): with open(path, rb) as f: data f.read(0x400) # 只读文件头区域够定位 PE 头 e_lfanew struct.unpack_from(I, data, 0x3C)[0] # 0x3C 处存 PE 头偏移 assert data[e_lfanew:e_lfanew 4] bPE\0\0 # 校验签名 machine struct.unpack_from(H, data, e_lfanew 4)[0] return {0x14C: x86 (32-bit), 0x8664: x64 (64-bit)}.get(machine, hex(machine)) print(pe_machine(test01.exe))逻辑很直白DOS 头偏移 0x3C 处是一个四字节指针指向 PE 头PE 头前四个字节是签名紧接着两个字节是 Machine 值。0x14C 对应 x860x8664 对应 x64。参数上唯一要注意的是读取长度0x400 对绝大多数正常 PE 足够遇到头特别大的畸形样本再往上加。这一步看着多余实际能省掉后面一堆“为什么 F5 出不来”的排查时间。位数为 32 就开 32 位那个程序别混。3. 三个窗口定生死IDA View、Hex View 与 Strings 的配合打法3.1 IDA View 的三个区域与两种视图主界面的核心是反汇编视图它由三块构成。地址区显示的是 PE 加载到内存后的虚拟地址等于镜像基址加偏移常见基址是 0x00400000 一带操作码区是机器码的十六进制代码区是反汇编出来的指令文本双击函数名或变量名会跳到对应地址。视图有两种模式文本模式和图形模式。图形模式把条件分支画成块跳转走向一目了然左下角还有整个函数的缩略图点哪跳哪函数一长这个缩略图比滚动条好用得多。文本模式更像传统的反汇编列表适合精确定位和复制。两种模式右键能互转我一般先图形模式看骨架再切文本模式抠细节。3.2 OpCode 列默认不显示改一个选项就出来刚装好的 IDA 里操作码那一列是空的很多人以为功能缺失。它不是缺失是默认关掉了。到选项里的通用设置把操作码字节数改成 8回去就能看到每一条指令对应的机器码。为什么要在意这一列因为你在别的地方比如十六进制编辑器、内存 dump、别人的分析报告看到的是字节序列需要和指令对上号。做补丁改写的时候更是必须——你得知道要改的那几个字节对应哪条指令改完之后指令长度有没有变化会不会把后面的指令切碎。3.3 Hex View 的只读态与 F2 编辑态十六进制视图默认是只读的光标移过去只能看。按 F2 之后可以对数据区域做编辑再按一次退回只读。这个设计很合理绝大多数时候你只是在核对某个地址上的原始字节不需要误触改坏。它和反汇编视图是联动的在代码区点一条指令十六进制窗口会自动滚到对应偏移并高亮。反过来找字符串也常用这招在字符串窗口拿到地址切到十六进制视图按地址跳过去就能看到它在文件里长什么样、前后有没有被填充或加密的痕迹。3.4 Strings 窗口从程序输出反推代码地址字符串窗口是新手最该先学会的入口。程序只要打印过什么东西那句提示语基本就以明文躺在数据段里你从输出反推代码比从入口一条条跟过去快得多。打开方式在视图菜单的子视图列表里选字符串那一项。窗口里列出程序里所有满足条件的字符串每条带地址和内容。默认扫描的是七位 ASCII、最小长度 5 的串这两个条件可以调。双击某一条反汇编视图会跳到引用它的位置只单击则是高亮不会跳走这个差别在批量翻的时候很有用。拿第 4 章要分析的样本举例窗口里能直接看到please input the key:、You are right, Success.、Error, please input the right key.这几条成功和失败两条提示语紧挨着说明它们来自同一个判断的两个分支——这就是定位校验逻辑的线索。3.5 交叉引用才是真正的导航定位到字符串只是第一步真正要回答的是“谁用了这个字符串”。在字符串地址上按交叉引用快捷键会列出所有引用它的指令位置跳过去就站在了打印语句旁边再往上看几行比较指令和条件跳转就在那里。常用操作我整理成一张表练熟这几个基本够用操作作用空格文本视图与图形视图互转F5调用反编译插件生成伪代码X查看符号的交叉引用列表N重命名函数或变量分号给当前行加注释G按地址跳转Esc退回上一个位置除此之外导入表窗口列出这个程序从外部动态库引入了哪些函数导出表窗口列出入口点函数窗口按地址列出所有识别出的函数及其长度。分析一个陌生样本我一般按这个顺序过一遍字符串窗口找提示语导入表看它用了什么能力文件、网络、加密相关函数窗口看有没有异常短的函数可能是壳或跳板最后才进反汇编细看。4. F5 伪代码还原异或校验九字符 key 是怎么算出来的4.1 先看样本一段自写的异或校验程序要分析的样本是自己编译的逻辑不复杂读入一串字符长度不在 6 到 10 之间直接报错长度合法就把输入和内置密钥逐字节异或结果和123456789比较相等就打印成功。源码大致是这样#include stdio.h #include string.h int main() { int i, len; char key[20]; char res[20]; char *num eastmount; /* 内置密钥硬编码在数据段 */ char *right 123456789; /* 目标密文 */ printf(please input the key:); scanf(%s, key); len strlen(key); if (len 6 || len 10) { printf(Error, The length of the key is 6~10\n); } else { for (i 0; i len; i) { res[i] key[i] ^ num[i]; /* 逐字节异或 */ } if (strcmp(res, right) 0) { printf(You are right, Success.\n); } else { printf(Error, please input the right key.\n); } } return 0; }编译成 exe 之后源码里的变量名、密钥串全没了只剩下机器码。但密钥是硬编码的字符串常量它必然躺在数据段里这就是静态分析能挖出答案的根本原因。4.2 从字符串落到校验分支装载之后先看图形视图条件分支被画成一个个块成功和失败两条路径分叉得很清楚。接着开字符串窗口找到please input the key:这条双击跳到引用位置能看到压栈和调用打印函数的指令序列。紧接着往下是一段读入和长度判断。这里有个坑值得提前说编译器优化之后源码里的len 6 || len 10在汇编里往往变成两条比较加两个条件跳转图形视图上看是两处分叉而不是一处。别急着认为逻辑被改了跟着跳转目标走一遍就明白。再往下就是循环异或那一段汇编形态是一个循环体里面一条异或指令、一条指针自增、一条计数比较加回跳。看到异或指令助记符通常是 XOR就该警觉这基本就是加密或校验的核心。4.3 逐行读 F5 伪代码三个地方不能看错在函数入口按 F5反编译插件吐出接近 C 的伪代码。这个插件是 IDA 生态里最重要的 ida 插件之一没有它纯汇编读起来要慢好几倍。样本的伪代码大致如下int __cdecl main(int argc, const char **argv, const char **envp) { char Str1[32]; char Str[40]; int v6; int i; __main(); printf(please input the key:); scanf(%s, Str); v6 strlen(Str); if ( v6 5 v6 10 ) { for ( i 0; i v6; i ) Str1[i] gcc2_compiled_[i] ^ Str[i]; if ( !strcmp(Str1, 123456789) ) printf(You are right, Success.\n); else printf(Error, please input the right key.\n); } else { printf(Error, The length of the key is 6~10\n); } return 0; }三个地方必须看准。第一长度条件写成了v6 5 v6 10和源码的len 6 || len 10是反过来的因为编译器把判断取反、两个分支对调了。如果照着伪代码的字面顺序理解很容易以为“长度大于 5 才报错”。判断条件被取反是反编译的常态。第二密钥不是字面量而是一个叫gcc2_compiled_的符号。这个名字是编译器特征匹配时误认出来的它实际指向数据段里那段硬编码字符串。名字不可信地址才可信。第三strcmp的返回值取反后作为成功分支的条件说明比较的是“加密结果是否等于目标密文”不是“输入是否等于某个明文”。这一步决定了你后面是去猜明文还是去反算。4.4 顺着符号跳过去密钥就在数据段里在伪代码里选中gcc2_compiled_高亮后双击视图跳到数据段对应位置。那里躺着的就是明文字符串eastmount。到这一步加密逻辑的所有要素都齐了密钥eastmount、目标密文123456789、逐字节异或、长度 9。异或有个性质在这里必须用上它是自反的。a ^ b c意味着c ^ a b也意味着c ^ b a。加密函数里写的是res key_input ^ secret我们已知secret和期望的res那么key_input res ^ secret。不需要任何爆破一次异或就能反算。4.5 写脚本反算输入并回验先给 C 版本和样本同源方便对照#include stdio.h #include string.h int main(void) { const char *secret eastmount; /* 4.4 步在数据段读到的密钥 */ const char *target 123456789; /* strcmp 的目标密文 */ char out[16]; int i, len (int)strlen(secret); for (i 0; i len; i) { out[i] target[i] ^ secret[i]; /* 异或自反直接反算输入 */ } out[len] \0; printf(recovered key: %s\n, out); return 0; }Python 版本更短适合随手验证secret eastmount # 数据段里的硬编码密钥 target 123456789 # 校验目标 plain .join(chr(ord(t) ^ ord(s)) for t, s in zip(target, secret)) print(plain) # TSXYBVM assert len(plain) 9 # 长度必须落在 6~10 区间内否则走不到校验分支参数上只有一点要留意两个字符串要按较短的那个截断。样本里密钥长度 9、目标长度 9正好对齐如果长度不等超出部分就没有对应关系反算出来的结果必然错。这也是为什么先要确认strlen参与循环的条件。算出来的结果是TSXYBVM九个字符落在长度区间内。把它输入原程序会打印成功提示——反算结果和程序行为对上了才算真的分析完光算出字符串不算。这一步回验花不了两分钟但能挡掉绝大多数“看着对其实错了”的情况。5. 避坑与排查五个能卡住半天的细节5.1 F5 按下去没反应或者提示反编译器不可用现象函数入口按 F5什么都没发生菜单里那一项也是灰的。原因通常是两个。一是版本里的反编译能力没装全只装了主程序没装对应的插件模块二是位数对不上32 位样本用 64 位程序打开插件找不到匹配的处理器模块。解决顺序先确认打开样本用的是哪个位数的程序再确认插件目录里有没有对应架构的反编译模块。如果两样都对还是灰的换个函数试试——有些识别错的“函数”其实是数据反编译插件拒绝处理。5.2 字符串窗口里搜不到那句提示语现象程序运行时明明打印了中文或英文提示字符串窗口里翻遍了没有。原因有三种字符串被压缩或加密运行时才解出来字符串是宽字符编码默认的七位 ASCII 扫描扫不到字符串藏在资源段不在常规的只读数据段。解决在字符串窗口的配置里把编码类型和最小长度调宽宽字符选项打开再扫一遍。还是没有就去资源段和代码段手动翻或者退回动态手段在输出函数下断点看参数。5.3 打开后函数列表空得离谱只有入口点现象装载完成函数窗口里只有寥寥几个函数反汇编视图里大片数据被当成指令。原因样本被加壳或者入口点被改过真正的代码在运行时才展开。IDA 静态看到的是壳的代码不是原始逻辑。解决先看节区表如果节区名字异常、某个节的大小远大于文件实际内容、熵值很高基本可以判定有壳。这类样本要先在授权环境里脱壳再分析硬啃壳代码是浪费时间。判断之前别急着改反汇编改乱了原始结构更麻烦。5.4 双击符号跳不过去提示无法定位现象伪代码里看到一个变量名双击没反应或者跳到一个莫名其妙的地址。原因那个名字是编译器特征匹配时误认的实际没有对应的符号定义或者它是个外部导入项定义在别的模块里。解决别信名字信引用。在符号上按交叉引用看哪些指令读写它从引用点反推它的真实用途和地址再拿地址去十六进制视图核对原始字节。名字是给人看的地址才是事实。5.5 分析了两小时重开全没了现象改的名字、加的注释、标的类型关掉再打开全消失。原因没保存数据库或者保存时选错了选项只写入了部分内容也有一种情况是把数据库文件放在了只读目录写入失败但没注意提示。解决分析过程中养成随手保存的习惯别等最后。关窗口时弹出的保存对话框默认选项一般够用但如果你改过类型定义确认一下打包选项有没有把类型信息带上。我的做法是分析前先复制一份原始样本和初始数据库所有修改都在副本上做改坏了直接回滚不用重头再来。6. 进阶验证用 IDAPython 把一次性分析变成可复用的检查单一个样本分析完结论对不对靠人眼核对很容易漏。我现在的做法是把手动找到的东西用脚本再跑一遍让机器去比对人只看差异。IDA 内置了 Python 解释器脚本窗口里直接跑就行不用额外配环境。最常用的一个片段是把所有字符串和地址导出来和手动整理的清单对一遍import idautils rows [] for s in idautils.Strings(): # 遍历数据库里所有已识别字符串 rows.append((s.ea, str(s))) # ea 是字符串起始地址 rows.sort(keylambda r: r[0]) # 按地址排序便于和手动记录对照 for ea, text in rows[:50]: print(hex(ea), text)idautils.Strings()返回的是数据库视图里的字符串对象不是原始文件扫描结果所以它包含了你手动调整过类型之后的成果s.ea是有效地址把它和反汇编视图里的地址对上就能确认某个字符串到底在哪个段、被哪条指令引用。想进一步确认引用关系可以再对每个地址取交叉引用把引用点一并打印出来。第二个习惯是给每次分析留一张检查单固定几项逐条打勾检查项确认方式位数与架构读 PE 头 Machine 字段和打开的 IDA 版本一致是否加壳看节区名、节大小与文件大小是否匹配关键字符串定位字符串窗口找到提示语交叉引用到代码校验分支图形视图确认成功与失败两条路径硬编码常量数据段找到密钥和目标值记录地址反算结果脚本算出输入回填程序验证行为这张表的价值不在表本身在于它把“我觉得我分析完了”变成“六项都有证据”。第 4 章那个样本我第一次做的时候只算了异或结果就收工忘了确认长度条件结果算出来的串长度是 9 没错但换一个样本就翻了车——密钥比目标长多出来的字节没参与循环我按全长算得到的输入程序根本不认。后来老老实实把strlen参与循环的那个变量看清楚才把结果对上。还有个小技巧反算脚本不要只打印结果把中间过程也打出来。逐字节打印密文字节 ^ 密钥字节 明文字节一眼就能看出哪一位对不上比盯着一个字符串猜哪里错了快得多。从那以后我每次分析完一个校验逻辑都强制走一遍“脚本反算 回填验证 检查单打勾”这三步哪怕样本再简单也不跳过。这套流程不保证你分析得快但保证你交出去的结论能被人复现。资源包里那份笔记和自编译样本按上面的顺序从头做一遍比只看不动手快得多希望帮到你。本文还有配套的精品资源点击获取