文档介绍：使用IDA的调试器
这个小教程简单介绍了IDA调试器的主要功能。它支持本地或远程调试x86、AMD64的Windows PE文件,及x86的Linux ELF文件。现在让我们看一下如何调试一个在Windows下编译的小的C语言控制台程序。
一个小bug程序
这个小程序只是简单的计算了一下一组数据(1,2,3,4,5)的平均值。这组数据被保存在两个数组里,一个是8bit的数值,一个是32bit数值表示。
#include <>
char char_average(char array[], int count)
{
int i;
char average;
average = 0;
for (i = 0; i < count; i++)
average += array[i];
average /= count;
return average;
}
int int_average(int array[], int count)
{
int i, average;
average = 0;
for (i = 0; i < count; i++)
average += array[i];
average /= count;
return average;
}
void main(void)
{
char chars[] = { 1, 2, 3, 4, 5 };
int integers[] = { 1, 2, 3, 4, 5 };
printf("chars[] - average = %d\n",
char_average(chars, sizeof(chars)));
printf("integers[] - average = %d\n",
int_average(integers, sizeof(integers)));
}
运行它,我们得到如下结果:
chars[] - average = 3
integers[] - average = 1054228
可以看出在整数方式下计算的结果是错误的,我们用IDA的调试器来分析一下吧。
装入文件
调试器被完美的集成在IDA中,首先我们使用IDA装入文件,来生成数据库,用户可以使用反汇编功能,所有反汇编的信息,均可以在调试器中使用。如果反汇编的文件被调试器正确识别,调试器的菜单将自动出现在IDA的主窗口中。
指令断点
首先我们在反汇编窗口中找到int_average()这个函数,我们在程序前导部分(指程序开始的一些初始化等)的后面下断点,可以使用右键菜单中的Add Breakpoint的命令,或使用快捷键F2。
程序运行
现在我们开始执行这个程序。首先使用相应的图标打开调试器窗口,然后运行这个文件直到它到达断点,我们可以使用快捷键F9,或使用调试工具条上的Start按钮。
堆栈
IDA-ESP窗口现在列出了我们感兴趣的函数的堆栈结构,我们很容易就找到了函数int_average()的整数数组参数,它指向了在main()的整数数组integers[]。
监视
我们可以添加监视,通过监视观察在程序执行过程中数据的变化。
地址分析
通过分析汇编代码,我们可以知道计算累加和的循环所在,它将计算结果保存在EBX中,[EBX+EAX*4]明显的指明EBX是数组的开始地址,EAX是数组的索引,这样它就可以定位到数组中的每一项。
单步跟踪
让我们继续一步一步的跟踪这个循环。通过使用调试工具条上的按钮或用快捷键F8,有时,IDA会用绿箭头指示调转命令的调转方向和位置。
找到Bug
现在让我们看一下ESI值,每轮循环时,EAX都要与ESI比较,我们可以判别ESI是循环总轮数,但我们也注意到ESI中有一个奇怪的数据14h(=20),而我们的数组只有5个成员。我们已经找到问题所在了……
硬件断点
为了确认这个问题,我们使用硬件断点,就设在我们intergers这个数组最后一个成员的后面(事实上,就是在chars这个数组的第一个成员上)。如果我们在实行intergers的循环断到了这里,说明我们的循环读取了 intergers这个数组之外的数据。我们在这里下硬件的4字节(一个整数的大小)访问断点。
正如我们猜测的,当我们继续运行,它确实执行了对chars数组的访问操作。注意,此时EIP执行导致硬件中断的后一条指令上。
堆栈跟踪
让我们看一下ESI来自有调用int_average()时传递来的参数,为什么调用的程序会传递过来这么奇怪的一个参数?我们看一下,所有调用函数的堆栈。我们单击一下main(),来到调用程序这里。通过IDA的PIT(参数识别技术),我们看到push 20这条指令