(例子詳見(jiàn)最新分析的熊貓燒香病毒,并不止應(yīng)用于病毒分析,也可以應(yīng)用于其他逆向)
- 在使用IDA使用之前,一定要分析出對(duì)象是用什么語(yǔ)言來(lái)編寫的,然后可以用IDA的簽名,將大大增加可讀性
- 利用IDA找到導(dǎo)入表,然后通過(guò)一些比較明顯的API入手,加上交叉引用
ctrl+x---->到達(dá)上一層,找到調(diào)用這個(gè)API的函數(shù),然后針對(duì)這個(gè)函數(shù),再次應(yīng)用交叉引用,找到調(diào)用這個(gè)函數(shù)的母函數(shù)--->最終會(huì)找到OEP附近 - 在導(dǎo)入表里面,可以按
CTRL+F,出現(xiàn)搜索欄,在里面比如輸入reg,就可以得到與注冊(cè)表相關(guān)的API - 一般用淺顏色標(biāo)注的地址為系統(tǒng)函數(shù),一般用黑色標(biāo)注的地址為非系統(tǒng)函數(shù);
- 在IDA中改基址,edit--->segment--->rebase program硫麻，OD里面查看當(dāng)前模塊即可
