实验3调试技术在逆向工程中的应用

1实验3调试技术在逆向工程中的应用3.1实验目的通过调试一个在Windows下编译的小的C语言控制台程序，掌握IDA调试器的主要功能。2.2实验步骤及内容2.1.1输入程序并编译这个小程序只是简单的计算了一下一组数据（1,2,3,4,5）的平均值。这组数据被保存在两个数组里，一个是8bit的数值，一个是32bit数值表示。#includestdio.hcharchar_average(chararray[],intcount){inti;charaverage;average=0;for(i=0;icount;i++)average+=array[i];average/=count;returnaverage;}intint_average(intarray[],intcount){inti,average;average=0;for(i=0;icount;i++)average+=array[i];average/=count;returnaverage;}voidmain(void){charchars[]={1,2,3,4,5};intintegers[]={1,2,3,4,5};printf(chars[]-average=%d\n,char_average(chars,sizeof(chars)));printf(integers[]-average=%d\n,int_average(integers,sizeof(integers)));}观察运行结果：chars[]-average=32integers[]-average=1054228（该值在不同机器上会有所不同）可以看出在整数方式下计算的结果是错误的，我们用IDA的调试器来分析一下吧。2.2.2装入文件调试器被完美地集成在IDA中，首先我们使用IDA装入文件，来生成数据库，用户可以使用反汇编功能，所有反汇编的信息，均可以在调试器中使用。如果反汇编的文件被调试器正确识别，调试器的菜单将自动出现在IDA的主窗口中。2.2.3指令断点首先我们在反汇编窗口中找到int_average()这个函数，我们在程序前导部分（指程序开始的一些初始化等）的后面下断点，可以使用右键菜单中的AddBreakpoint的命令，或使用快捷键F2。32.2.4程序运行现在我们开始执行这个程序。首先使用相应的图标打开调试器窗口，然后运行这个文件直到它到达断点，我们可以使用快捷键F9，或使用调试工具条上的Start按钮。进入如下的DEBUG界面：2.2.5堆栈在ESP寄存器上单击右键，快捷菜单选取“打开寄存器窗口”，即可显示ESP堆栈结构：IDA-ESP窗口现在列出了我们感兴趣的函数的堆栈结构。2.2.6监视添加监视，通过监视观察在程序执行过程中数据的变化。1）在变量名称上双击进入堆栈窗口，停留在堆栈地址0018FEC8（按Esc可返回反汇编窗口）2）在ESP寄存器窗口0018FEC8右键快捷菜单首先选择SynchronizewithEIP，然后对0018FEC8重命名为average43）添加监视4）调整监视列表出现监视列表窗口，可拖动该窗口至十六进制窗口HexView（如上图下方位置）重复上述过程，将变量i添加到监视列表2.2.7地址分析通过分析汇编代码，我们可以知道计算累加和的循环所在，它将计算结果保存在ECX中，[EAX+EDX*4]明显的指明EAX是数组的开始地址，EDX是数组的索引，这样它就可以定位到数组中的每一项。52.2.8单步跟踪继续一步一步的跟踪这个循环。通过使用调试工具条上的按钮或用快捷键F8，有时，IDA会用绿箭头指示调转命令的调转方向和位置。2.2.9找到Bug现在让我们看一下count值，每轮循环时，ECX都要与count比较，我们可以判别count是循环总轮数，但我们也注意到count中有一个奇怪的数据14h(=20)，而我们的数组只有5个成员。我们已经找到问题所在了……2.2.9硬件断点为了确认这个问题，我们使用硬件断点，就设在我们intergers这个数组最后一个成员的后面。如果我们在实行intergers的循环断到了这里，说明我们的循环读取了intergers这个数组之外的数据。我们在这里下硬件的4字节（一个整数的大小）访问断点。6鼠标停留在array数组上面，弹窗显示数组起始地址为0018FF2C，在ESP寄存器窗口可以看到数组最后一个元素5，在其下一个位置0018FF40下一硬件断点。正如我们猜测的，当按F9继续运行，它确实执行了对0018FF40的访问操作，激发硬件中断。2.2.10堆栈跟踪让我们看一下count来自有调用int_average()时传递来的参数，为什么调用的程序会传递过来这么奇怪的一个参数？我们看一下，所有调用函数的堆栈。我们单击一下main()，来到调用程序这里。通过IDA的PIT(参数识别技术)，我们看到push20这条指令，是它将这个错误的参数传递到int_average()。7我们回过来看看我们的C代码，我们就明白了问题的所在，我们使用了sizeof这个函数，它返回了数组的字节数，而不是数组的成员数！