博客

1. ida是最好用的逆向分析工具

2.问题

如果你在使用IDA分析时遇到大量的结构体指针偏移形式的变量，肯定想根据自己的分析重命名结构体各项。

3.定义结构体

这是需要先找到结构体初始化的地方

这里记录了每一项的偏移量，记录了结构体总大小Ox110uLL。

我们要根据这个结构体初始化函数来定义该结构体

在IDA中打开Structures，快捷键是shifr+ F9 ,然后按insert键，进行插入。

在ends 后按d键，添加相应的成员，然后选中成员名，按N进行修改，选中类型，按d 进行更改类型

00000000 DES_sturct      struc ; (sizeof=0x110, mappedto_96)
00000000 android_refbase0 DCD ?
00000004 field_4         DCB ?
00000005                 DCB ? ; undefined
00000006                 DCB ? ; undefined
00000007                 DCB ? ; undefined
00000008 item8           DCQ ?
00000010 item16          DCQ ?
00000018 item24          DCQ ?
00000020 item32          DCD ?
.......
000000E4 field_E4        DCQ ?
000000EC uuid            DCQ ?
000000F4 item244         DCQ ?
000000FC cipher          DCQ ?
00000104 nextitemofcipher DCQ ?
0000010C field_10C       DCD ?
00000110 DES_sturct      ends    

注意：

1.在定义结构体过程中要检查偏移量。比如 cipher是

*(_QWORD *)(v2 + 252) = 0LL;

2.那么自己定义的结构体，它的位置就应该在 000000FC（16进制的252）。

定义结束后要检查总大小“ sizeof=0x110”。

4. 使自己定义的结构体和代码变量关联生效

在代码窗口找到相应的变量，右键选择Convert to struct ，然后选择刚刚你定义的结构体

此时，结构体初始化的地方显示为：

  v2 = (DES_sturct *)struct_qword_331A0;
  if ( !struct_qword_331A0 )
  {
    v2 = (DES_sturct *)operator new(0x110uLL);
    android::RefBase::RefBase((android::RefBase *)v2);
    v2->item48 = 1;
    v2->item74 = 48;
    v2->item214 = 2;
    v2->item215 = 2;
    v2->item16 = 0LL;
    v2->nextitemofcipher = 0LL; 
......
    v2->cipher = 0LL;                         
......
    android::RefBase::incStrong((android::RefBase *)v2, &struct_qword_331A0);
    if ( struct_qword_331A0 )
      android::RefBase::decStrong((android::RefBase *)struct_qword_331A0, &struct_qword_331A0);
    struct_qword_331A0 = (__int64)v2;
	}

使用结构体变量的地方显示：

由

    v23 = a1 + 252;

改变为

    v23 = &a1->cipher;

我们的目的就这样达到了。