从吾爱破解上下的IDA

启动IDA

启动IDA，会有一个初始欢迎界面，显示你的许可摘要信息。消失后将显示一个对话框，上面有3个选项。

New（新建） ：选择new将启动一个标准file open对话框来选择将要分析的文件。根据选择的文件，ida将显示外一个或多个对话框，再选择特定的文件分析选项。然后加载，分析并显示。
Go（运行）go键终止加载程序，使IDA打开一个空白工作区域。可以将二进制文件直接拖入，或使用file菜单中的选项。IDA会利用已知扩展名的过滤器限制file对话框显示。请确保修改或清除该过滤器（如选择all files），以便file对话框正确显示你想要打开的文件（在非windows系统中，可执行文件可能没有扩展名）。以这种方式打开文件时，IDA会尝试自动识别选定文件类型，需要注意loading对话框，看ida用哪个加载器处理。
Pervious 使用previous可以打开“最近用过的文件”列表中的一个文件。“最近用过的文件”列表中包含IDA的windows注册表项的history子项中的值。默认长度为10，可以编辑idagui.cfg或idatui.cfg修改其值。

IDA文件加载
用new打开一个新文件后会看到如下对话框

IDA会生成一个可能的文件类型列表，在顶部显示，它将显示最适合处理文件的加载器。
Binary File(二进制文件) 是列表最后一个选项，会一直显示，是IDA加载无法识别文件的默认选项，提供最低级的加载方法。
在processor type（处理器类型）下拉菜单中，可以指定在反汇编过程中使用的处理器模块（在ida的procs目录中）。多数情况下，ida将根据可执行文件头中读取信息，选择合适的处理器。
如果同时选择了二进制文件输入格式和一种x86系列处理器，loading segment（加载段）和loading offset（加载偏移量）字段将处于活动状态。
kernel options（核心选项），用于配置特定的反汇编分析选项，IDA可用这些选项改进递归下降过程。
processor options用于选择适用于选中的处理模块的配置选项，但它不一定对每个处理器模块有效。他只能对反汇编过程提供有限帮助，因为这些选项非常依赖于用户选定的处理器模块，以及模块创建者的编程能力。
其他复选框可帮助用户更好地控制文件加载过程。

使用二进制文件加载器
由于没有文件头信息引导分析过程，必须手动执行，通常由更强大的加载器自动完成的任务。需要使用二进制加载器的情形包括：分析从网络数据包或日志文件中提取出来的rom镜像和破解程序负载。
如果同时选择x86处理器模块和二进制加载器，将会显示如下对话框
二进制文件并不包含有关内存布局信息（至少不提供ida能够识别的信息）

IDA数据库文件

选择加载选项，单击OK按钮关闭对话框后，加载文件的工作在真正开始。这时，IDA的任务是将选定的可执行文件加载到内存中，并对相关部分进行分析。随后，IDA会创建一个数据库，其组件分别保存在4个文件中，这些文件的名称与选定的可执行文件名称相同，扩展名分别为.id0,.id1,.nam和.til。.id0是一个二叉树的数据库，.di1包含描述每个程序字节的标记。.nam文件包含与ida的names窗口中显示的给定程序位置有关的索引信息。最后，.til文件用于存储与一个给定数据库的本地类型定义的有关信息。这些文件的格式为ida专用，在ida环境以外它们很难编辑。
关闭当前项目时，这4个文件将被存档。可选择压缩为一个idb文件，ida数据库实际上是指idb文件。
一旦ida为可执行软件创建数据库，它就不再需要访问这个可执行文件本身，在分析一个恶意软件样本时，只需在分析人员之间传递相关数据库。IDA的本质是一个数据库应用程序，分析可执行文件时，IDA会自动创建和填充新的数据库，分析过程提供的不过是各种数据库的视图。IDA的强大之处在于它包含各种可用于分析和操作数据库数据的工具。

创建IDA数据库
在选择一个准备分析的文件并指定选项后，IDA将开始创建数据库。这个过程中，ida会将控制权交给选定的加载器模块，该模块的工作包括：从磁盘加载文件，解析它能够识别的任何文件头信息，创建各种包含代码或数据（在文件头中指定）的程序块，最后在将控制权返还ida之前确实特定的代码入口点。
加载器完成工作后，ida内的反汇编引擎将接管掌控权，一次传一个地址给选定的处理器模块，处理器模块的工作包括：确定位于该地址的指令的类型，长度以及从这个地址继续执行指令的位置（例如区分指令序列和分支）。如果ida认为他已经找到了文件中所有指令，它会第二次遍历指令地址列表，并请处理器模块将每个指令都转换成汇编语言，然后将它们显示出来。

编译器识别，了解构建软件所使用的编译器
函数参数和局部变量识别，对于每一个已识别函数，ida会详细分析栈指针寄存器的行为，以确定栈内变量，并了解函数栈帧。
数据类型信息，ida在数据库中添加注释，以指明向这些函数提交参数的位置

关闭数据库
关闭数据库，无论是完全关闭还是切换另一个数据库，ida都将显示一个save database对话框
dont pack database（不打包数据库） 仅刷新4个数据库，不创建idb文件
pack database（打包数据库） 将4个数据库组件文件存到idb文件中
pack database （打包数据库，压缩）等同于上一个，压缩到idb归档
collect garbage（收集垃圾）在关闭数据库之前，删除没有的内存页面
dont save the database（不保存数据库）删除四个数据库组件文件，保留现有未经修改idb文件

IDA桌面简介
（1）工作栏区域，ida常用操作对应工具。
（2）概况导航栏：导航带（彩色水平带）是被加载文件地址空间的线性视图。默认情况下呈现二进制整个地址范围
（3）每一个数据显示窗口的标签
（4）反汇编视图，主要数据显示
（5）输出窗口，文件分析进度状态信息
（6）函数窗口

小技巧

恢复无意关闭的数据显示窗口
windows-reset deskstop 恢复原始布局
windows-save deskstop 保存当前布局
options-font设置字体