【逆向工具】IDA使用3-全局变量、数组、结构体

全局变量

测试代码

全局变量既可以是某对象函数创建，也可以是在本程序任何地方创建。全局变量是可以被本程序所有对象或函数引用。下面这段代码中将int、float、char变量定义在main函数之外。

// 变量.cpp : 定义控制台应用程序的入口点。

//

#include "stdafx.h"

//全局变量

// 整型

int a_nNum = 22;

// 浮点型

float fNum = 2.5;

// 字符型

char ch = 'A';

int main()

{

	// 整型

	int nNum = 1;

	printf("int %d ,int %d, float %f ,char %c", a_nNum, nNum, fNum, ch);

    return 0;

}

VS反汇编结果

IDA反汇编结果

局部变量标识区只有ver_8一个变量，而全局变量则集中保存在.data区域。IDA帮我们识别出变量的类型，byte、dword，双击变量可以看到数据的定义。

双击全局变量可以进入全局变量存放区，根据右键显示的数据可以修改名称。

数组

测试代码

#include "stdafx.h"

int main()

{

	int nArr[5] = { 1,2,3,4,5 };

	int n = 2;

	nArr[n] = 20;

    return 0;

}

VS反汇编结果

当在函数内定义数组时候，如果没有其他声明，该数组即为局部变量，拥有局部变量的所有特性，数组中的数据在内存中的存储是线性连续的，其数据排列顺序由低地址到高地址。数组名称表示该数组的首地址。

这是数组在内存中的数据分布的样子

IDA反汇编结果

数组中的各项元素均为同一类型的数据，而局部变量赋值时的类型都不相同。根据此特征即可判断局部变量不是数组中的元素。在寻址的过程中，数组不同于局部变量，不会因为被赋予了常量值而使用常量传播。

在IDA中反汇编代码中，可以看出连续使用了5个4字节的内存地址，依次赋值整型数据1、2、3、4、5。双击标号“var_18”定位到标号定义处，在IDA下单击此标号，按键盘上的“*”或者右键【Array】将连续的变量定义为数组。

新建一个数组定义，大小设置为5

回到反汇编视图，选取"var_18“并使用快捷键"N”键将标号重新命名为“nAarray”，程序中所有用到该数组标号的地方将全部被修改。

IDA中F5后可看到的源代码，这款静态分析工具果真是牛逼。

结构体

测试代码

#include "stdafx.h"

//定义结构体

struct MyStruct

{

	int nNum;

	float fNum;

	char chA;

};

void Print(MyStruct stc)

{

	printf("int %d , y %f , z %c",stc.nNum,stc.fNum,stc.chA);

}

int main()

{

        //结构体初始化

	MyStruct stc = { 1,2.2,'A' };

	stc.fNum = 5.5;

	Print(stc);

    return 0;

}

VS反汇编结果

IDA反汇编结果

在反汇编结果中，初始化赋值整型变量、浮点型变量、字符型变量，而函数体内浮点型变量是赋值了第二次的。熟记结构体中所有变量都共享一片内存的特性，在反汇编中识别出结构体则在于三个变量一起传入了堆栈。逆向过程中更主要是靠猜，不对的话我们再改回来。而且改之前一定要有想法，知道自己要做什么。

为了使反汇编更利于逆向中的阅读，我们首先在结构体窗口点击【insert】键插入一个结构体

选择结构体的ends部分，点击快捷键【d】，增加结构体变量

00000001 struc_1         ends

增加三个变量，使用快捷键【n】将三个变量改名。这里要注意基础数据类型都为DD，否则有可能导致数据类型不匹配出现两个结构体问题。

00000000 struc_5         struc ; (sizeof=0x4, mappedto_25)

00000000 nNum            dd?

00000001 fNum            dd?

00000003 chA               dd?

00000004 struc_5         ends

回到反汇编窗口，双击变量。到 stack of sub_xxx（局部堆栈）窗口下将变量转换成结构体类型

可以使用快捷键【alt+Q】，转换成指定结构体。

使用结构体解析变量后，可以看到反汇编窗口中变量以结构体形式显示。F5大法后还原高度仿真的伪C代码