root
25f2286cb6
README 242 -> 180 lines: the 14-row tool table becomes three sentences pointing at capabilities.py, Read this first merges into Scope, and the six-script maintenance block becomes a table. Every path, command and anchor is unchanged. README.zh-CN follows the same eight sections, and picks up two drifts: it named hwprobe.py as the cheapest first command (SKILL.md and the English README say doctor.py), and it translated triage as 'three categories', which sends a reader looking for categories that do not exist. docs/primer is the Windows reverse-engineering tutorial series with an index, corrected in three places: x64dbg instead of OllyDbg, offsets fixed only within one build, and IAT hooking assuming the target imports the API it hooks. docs/tool-acquisition keeps the part capabilities.py does not answer: licence classes, id resolution on the host, and what proves a tool runs.
52 lines
1.7 KiB
Markdown
52 lines
1.7 KiB
Markdown
Windows逆向分析入门（五）——工具篇
|
||
前言
|
||
|
||
老话，工欲善其事，必先利其器。这篇聊聊逆向分析用到的工具。不聊工具细节，自行百度学习。重要的是理清：使用工具，是为了解决什么问题。
|
||
|
||
|
||
|
||
工具
|
||
|
||
1、CE
|
||
|
||
找偏移的方法中聊到，最直接就是在内存里面搜索。
|
||
|
||
CE（CheatEngine又称CE修改器），就是用来搜索内存里面东西，得到内存地址。
|
||
|
||
|
||
|
||
2、IDA
|
||
|
||
逆向分析，我们拿到手的是已经编译好的软件，看不了代码。
|
||
|
||
要是能把软件恢复成代码，分析起来就方便多了。
|
||
|
||
IDA这个工具，就是用来把软件恢复成代码的。
|
||
|
||
软件编译过程会去掉一些多余的信息。
|
||
|
||
所以IDA没办法说完全恢复代码。
|
||
|
||
但是用来分析还是很方便的。
|
||
|
||
这就是所谓的静态分析。
|
||
|
||
|
||
|
||
3、x64dbg
|
||
|
||
用IDA分析软件的时候，软件并没有运行起来，能分析的是软件的静态结构。
|
||
|
||
如果要知道到软件运行的具体过程是什么样的，就需要用动态调试工具，比如x64dbg。
|
||
|
||
x64dbg里面看到的是汇编的代码，需要熟悉汇编语言和CPU的运行过程，原理篇有聊到。
|
||
|
||
早年的教程里常见的是OD（OllyDbg），它只支持32位程序，而且早已停止更新。今天用x64dbg；内核调试或者需要命令行脚本时，用WinDbg。
|
||
|
||
|
||
|
||
经验
|
||
|
||
工具这块建议重视，多花点时间，效率会快很多。
|
||
|
||
CE用来定位数据，x64dbg用来动态调试，IDA用来看代码，多灵活结合。 |