IDA Pro逆向教程练什么样本更合适 IDA Pro逆向教程里先练静态还是动态

刚开始学习IDA Pro的时候，如果一上来就选了过于复杂的样本，很容易就会陷进数量庞大的函数、库代码和异常分支里面，半天都理不出一个清晰的头绪。所以，先得弄明白两个很实际的问题：在IDA Pro的逆向学习过程中，到底该选什么样的样本来练手，以及在整个学习次序上，是应该先练静态分析，还是先练动态调试。一个比较稳妥的起步办法，是从自己动手编译的小型程序开始，先把程序的整体结构看明白，之后再打开调试器去验证自己之前的那些想法。练手用的文件范围，最好就严格限定在自编译程序、公开发布的教学样本，还有已经拿到明确授权的文件上面，不要直接去分析那些没有经过授权的商业软件，也尽量不要随便运行那些来源不明的程序。

一、IDA Pro逆向教程练什么样本更合适

入门用的练手样本，功能上并不需要多么复杂，最关键的一点是它背后的源代码逻辑要足够清楚，这样等编译完以后再放进IDA Pro里面，才比较容易找到源程序逻辑和反汇编结果之间的对应关系。官方给出的入门资料，也是从加载二进制文件、等待自动分析、查看反汇编结果这几个基础步骤开始的。IDA会把分析得到的信息都存到一个专门的数据库文件里，所以我们在软件里面对函数做注释、修改符号名字，这些操作都不会去改动到原始的exe文件。

1、先练自编译控制台程序

可以先自己动手写几个小程序，把字符串判断、数字计算、菜单选择、循环、数组和简单的文件读取这些常见的逻辑都覆盖进去。代码写好后把源文件保留好，再分别编译出Debug版本和Release版本。这么做的好处是，能够非常直观地看到变量名称、编译器的优化选项还有函数内联，究竟会对最后反编译出来的结果造成多大的影响。

2、再练多个函数之间的调用

等到单个函数的逻辑能看熟了之后，就可以进一步在程序里加入登录判断、配置文件的读取、数据内容的校验和错误提示这一类功能模块。进入IDA后，要多翻看Imports视图、Strings窗口、Functions列表还有交叉引用，然后试着从某一段提示性的字符串出发，一路追到它背后调用的那个函数，再顺着函数和函数之间的调用关系，把一整条执行路径大致还原出来。IDA的Imports视图会把程序依赖的那些动态链接导入符号，以及每一个符号所属的库名，都一块儿列出来，用它来判断程序用到了系统的哪些功能，就特别方便。

3、使用公开教学样本验证调试流程

Hex-Rays官方出品的调试教程里，就专门准备了一个简单的Windows控制台程序，用它来演示本地调试和错误定位的整个过程。在初学阶段，可以优先拣这一类专门为教学编写的样本来用，它们的功能逻辑框得很清楚，就算练习的时候撞上了什么问题，对照起资料来也要容易很多。

4、暂时避开复杂样本

像那些大型的商业软件、驱动程序、固件包、加过壳的文件，还有做过代码混淆的程序，最好先放到一边，因为里面夹带的干扰信息实在太多。在基础操作都还没有完全混熟的时候，不太适合拿这些本身就很复杂的文件来检验自己的学习效果。更合理的做法，是先把函数、字符串、交叉引用、基本块和断点这几样东西用到顺手了，再一点一点往上增加样本的分析难度。

二、IDA Pro逆向教程里先练静态还是动态

在刚入门的这个阶段，最好按照先做静态分析、再来动态调试的顺序往下走。静态分析的任务，是帮你先在脑子里搭起一个对程序整体结构的大致认识；而动态调试的作用，则是去验证程序真正跑起来之后的那条执行路径，到底是不是跟自己之前猜想的一样。只单盯着伪代码看，很容易就把实际运行中需要满足的那些条件给漏掉了；反过来，如果一上来就跟着程序一条一条指令地单步走，也很容易在密密麻麻的汇编代码中间彻底丢掉方向感。

1、先用静态分析找入口

把程序文件加载进去，等软件的自动分析流程完完全全跑完之后，先别急着动手，去看一看字符串列表、程序调用了哪些导入函数、主函数大概在什么位置，还有那几处关键的判断分支是怎么分布的。把光标停在函数身上，按下【F5】快捷键，IDA就会试着把当前的函数反编译成一段很接近C语言样子的伪代码；再按【Tab】键，就可以在反汇编视图和这份伪代码视图之间来回切换着看。

2、用流程图理解判断关系

当某个函数里面的分支跳来跳去、看着比较多的时候，可以把视图切到Graph View下面，去观察那些基本块以及它们之间带着箭头的连线是怎么连接的。按照官方文档的说明，流程图里的每一个节点，对应的就是一个基本块，那些连线代表的是代码之间的交叉引用关系，按一下空格键，就可以在图形视图和传统的文本视图这两种模式之间反复切换。

3、再用动态调试确认猜测

靠着静态分析锁定了几个自己觉得可疑的函数之后，这时候再把内置的调试工具启动起来，在可能处理外部输入的地方、做条件判断的那一步，或者往外返回结果的位置附近，打上几个断点。接着把程序跑起来，去观察寄存器里面存的值、函数调用的堆栈情况，还有变量的前后变化。做动态调试的时候，不一定要从程序的一开头就逐条单步往下走，带着一个具体的问题去设断点，反而更容易抓到关键的变化，效率也会高出不少。

三、IDA Pro入门练习怎样安排

每一次动手练习的时候，最好都能预先给样本设定一个明确的具体任务，不要打开一个程序以后，就漫无目标地在一个个函数之间胡乱翻看。

1、先完成结构识别

第一步，先从结构的识别做起，把程序的入口点、几个主要的功能函数、关键的字符串，还有它从外部导入的那些系统函数，都一条一条地记录下来，碰到自己已经看懂了的函数，就顺手给它改上一个容易辨认的名字，并且加上一段简要的注释。

2、再完成逻辑还原

第二步，从中挑出一个完整的判断流程，把进入这个分支需要满足什么样的输入条件、程序会先后经过哪几条路径，以及最后会输出什么结果，都动手写下来，然后再转回头去，对照着当初自己写的源代码，认真核对一遍刚才的分析是不是准确的。

3、最后做动态验证

第三步，在IDA里面只设置少量的几个断点，用几组不同的输入数据去反复运行程序，仔细观察它到底有没有按照自己料想的那样，乖乖走进那个预先设想的分支里面去。每一次练习，只需要集中精力解决掉一个具体的问题就好，练习完了之后，记得把IDA的数据库文件保留下来，以后随时都可以再打开，继续往里面补上更加详细的分析记录。

总结

总的来看，关于IDA Pro逆向教程应该拿什么样的样本来上手练习，还有学习过程中该先练静态分析还是先练动态调试，一个比较一致的建议，是从自己编译的小巧控制台程序，还有那些公开出来的教学样本开始。学习的顺序上，应当拿静态分析作为主线，先把字符串、导入函数、交叉引用和程序的流程图摸到眼熟，然后再借用动态调试的手段，去验证那些最为关键的分支判断。只要练手样本的范围被框得足够清楚，每一次练习的目标又设定得非常具体，那些基础的分析操作，反而会更容易被我们真正消化和记住。