IDA静态分析exe时先看字符串还是函数 IDA静态分析exe时交叉引用通常怎么利用

IDA静态分析exe时先看字符串还是函数IDA静态分析exe时交叉引用通常怎么利用，不能简单地讲一定先看哪一个。exe文件被打开以后，字符串和函数都是比较重要的，但它们起到的作用并不太一样。字符串更像是可以当作线索的东西，用它来比较快地估计程序大概在做什么；函数则更像是逻辑的聚集处，那些真正的条件判断、调用、分支和数据处理，都放在函数里面。比较稳当的次序，是先利用字符串和导入函数去找到方向，然后再走进关键函数做分析，最后才通过交叉引用把调用链连接起来。

一、IDA静态分析exe时先看字符串还是函数

刚刚开始分析exe的时候，最好不要一上来就直接从许多sub_xxx这样的函数里面去读。特别是没有符号、函数数量又很多的程序，如果先看函数，是很容易弄不清楚头绪的。字符串和导入表常常能帮着比较快地定位到可疑的功能位置，然后再回到函数里面去查看具体的逻辑。

1、先看字符串找线索

查看【Strings】窗口的时候，可以多留意路径、URL、注册表键、错误提示、配置字段、命令参数和日志文本这些内容。比如说出现了“login failed”“license invalid”“CreateProcess”“http://”这类信息，通常可以联想到认证、授权、网络通信或者进程执行这些方面的逻辑。字符串本身并不是结论，但它的作用在于帮助找到值得进一步去看的函数。

2、然后再看导入函数去判断能力

假如程序导入的API里有CreateFile、RegOpenKey、WinHttpSendRequest、CryptEncrypt、CreateProcess这些东西，就可以大体上看出它会不会涉及到文件、注册表、网络、加密或者进程这些操作。导入函数比起程序内部自己定义的函数名，往往要更加可靠一些，尤其是在exe被strip掉或者没有调试符号的时候，API调用常常是拿来判断行为方向的一个比较重要的依据。

3、接着进入关键函数去看真实逻辑

字符串和API只能让分析人员知道“可能会做些什么”，至于到底是怎么做的，那还是要再回到函数里面去。比如说见到了网络URL，就要到使用它的那个函数里去看；见到了授权失败的提示，就要往前去翻一翻前面比较了什么条件；见到了文件路径，就要把到底是读、写还是删除给分清楚。静态分析不能只停在字符串列表那里，一定要进到函数里面去把上下文给弄清楚。

二、IDA静态分析exe时交叉引用通常怎么利用

交叉引用在IDA的静态分析里面是一种很实用的功能。它可以让人知道某一个字符串、函数、全局变量或者API是被谁用到的，也能帮着从零碎的线索里面找出完整的调用链。

1、从字符串反过去查函数

选中一条可疑的字符串以后，通过查看它的交叉引用，就可以跳到使用它的那个函数里面去。这是用得最多的一种办法。比如找到了“config error”之后，借由交叉引用就能把配置解析函数给找出来；看到了“password incorrect”，跟着就可能走进登录校验的逻辑里面。这样比在函数列表里盲找要快上不少。

2、从API反过去查行为位置

对着CreateFile、send、recv、ShellExecute、LoadLibrary这些API去查它们的调用点，可以很快地就把那些关键行为发生的位置给定出来。一个程序里面也许会有很多普通的函数，但真正敏感的那些操作，到头来多半都会落在少数几个API调用上面。靠着API的交叉引用，可以把文件读写、网络请求、动态加载、命令执行这些行为拆开来一件一件地看。

3、从函数反过去推调用链

进到一个让人觉得不太对劲的函数里以后，不光要去看它调用了谁，还要去看是谁调用了它。往下去瞧，就能知道它内部做了些什么；往上去瞧，就能知道它是在什么样的情形下面才被触发的。比如一个校验函数本身并没有多长，可它要是被启动流程、菜单回调或者网络响应处理函数给调用，那它的分量就完全不一样了。

三、exe静态分析时怎么避免看错方向

做exe静态分析的时候，最容易出问题的地方，就是只盯住一小块地方不放。一个字符串说不定就只是个错误提示，一个API说不定也就只是个普通的初始化，一个函数说不定也只是库的一层封装。想要少出一些岔子，就需要把字符串、函数、API和交叉引用这些东西放在一块儿来看。

1、不要只凭字符串就下结论

字符串里面出现了某个关键词，并不等于程序就一定执行了相关的动作。有些字符串可能是资源文件、错误提示、没被用到的代码，再不然就是第三方库留下来的东西。看到可疑的字符串以后，还得接着去看交叉引用和调用的路径，弄清楚它是不是真的被执行到了。

2、给关键函数及时把名字改掉

在分析的过程当中，只要弄清楚了某个函数是做什么用的，就赶紧给它重新起一个名字，比方说改成parse_config、check_license、send_request、load_plugin这样。名字起好了之后，后面生成的调用图就能清楚不少，也能省去把同一段逻辑翻来覆去地反复去看的麻烦。

3、要跟程序的入口和主流程连起来看

不要光在零零散散的交叉引用之间跳过来跳过去。最好是从入口点、初始化、main函数或者窗口回调这样的地方起头，一步一步地把主流程给理出来。这样就能分得清某个函数到底是走在核心的道上，还是只有在很特别的情况下才会被跑到。

总结

IDA静态分析exe时先看字符串还是函数IDA静态分析exe时交叉引用通常怎么利用，一个比较实用的顺序，是先看字符串和导入函数把方向定下来，再进到关键函数里头把逻辑核实清楚，最后用交叉引用把调用关系接上。字符串的作用是提供线索，函数的作用是扛着具体的逻辑，交叉引用的作用则是把前后串在一起。把这三样东西合起来看，在静态分析exe的时候才不容易陷进盲目的跳转和片段的判断里面去。