IDA Pro 是一款交互式反匯編器，廣泛用于逆向工程，它極其靈活，內(nèi)置命令語言，支持多種可執(zhí)行文件格式，適用于大量處理器和操作系統(tǒng)，目前Hexrays為了充分調(diào)動(dòng)大家主觀能動(dòng)性, 主動(dòng)公開了測試版的完整IDA Pro 9.0，歡迎大家前來下載。

軟件介紹

它的原作者和主要開發(fā)者是 Ilfak Gilfanov。

它允許你構(gòu)建流程圖、更改標(biāo)簽名稱、查看堆棧上的本地過程等等。

作為反匯編程序，它能創(chuàng)建執(zhí)行圖，以符號(hào)表示（匯編語言）顯示處理器實(shí)際執(zhí)行的二進(jìn)制指令。IDA Pro 采用先進(jìn)的技術(shù)，從機(jī)器可執(zhí)行代碼生成匯編語言源代碼，并使這些復(fù)雜的代碼更易于人類閱讀。

在一定程度上，IDA 能夠利用交叉引用、標(biāo)準(zhǔn)庫函數(shù)調(diào)用參數(shù)知識(shí)和其他信息自動(dòng)執(zhí)行代碼分析。不過，通過與用戶的交互式互動(dòng)，IDA 才能發(fā)揮其全部威力。在研究開始時(shí)，反匯編器對程序進(jìn)行自動(dòng)分析，然后用戶在交互式 IDA 工具的幫助下，開始給出有意義的名稱、注釋、創(chuàng)建復(fù)雜的數(shù)據(jù)結(jié)構(gòu)，并以其他方式在反匯編器生成的列表中添加信息，直到所研究的程序做了什么以及如何做變得清晰為止。

反匯編程序有控制臺(tái)版本和圖形版本。它支持大量可執(zhí)行文件格式。IDA Pro的特色之一是能夠反匯編Java和.NET虛擬機(jī)的字節(jié)碼。它還支持宏、插件和腳本，最新版本還包含一個(gè)集成調(diào)試器。

功能特色

1、敵對代碼分析

考慮到當(dāng)今惡意代碼的速度和復(fù)雜性，需要一種功能強(qiáng)大的分析解決方案。IDA Pro已成為惡意軟件分析領(lǐng)域的標(biāo)準(zhǔn)，以至于有關(guān)新病毒的信息通常以“ IDA數(shù)據(jù)庫”的形式交換。防病毒，惡意軟件和間諜軟件分析師每天都會(huì)使用IDA Pro來調(diào)查新的病毒樣本威脅并提供及時(shí)的解決方案。

2、漏洞研究

漏洞披露的話題仍然頗具爭議，但實(shí)際上，軟件通常很容易受到外部攻擊。IDA Pro是調(diào)查此類漏洞的理想工具。如果不固定它們，則第三方可能出于不誠實(shí)或犯罪意圖利用它們。例如，威斯康星州安全分析器是一個(gè)非常有趣的項(xiàng)目，旨在研究軟件漏洞，其中IDA Pro扮演著重要角色。

3、商用現(xiàn)貨（COTS）驗(yàn)證

許多軟件是在使用它們的國家以外開發(fā)的。由于這些程序難以驗(yàn)證，而且由于完整的源代碼審核和重建并不總是可行或可行的，因此IDA之類的工具提供了一種方便的方法來檢查程序是否確實(shí)按照其聲明的方式運(yùn)行，是否沒有有害漏洞并且不泄漏任何敏感信息。

4、隱私保護(hù)

軟件正在各個(gè)層面入侵我們的生活。在可能被收集，出售或利用的有關(guān)單個(gè)用戶的數(shù)據(jù)量激增到前所未有的水平時(shí)，尊重基本隱私權(quán)是許多人的關(guān)注點(diǎn)。IDA Pro幫助調(diào)查可能引起關(guān)注的軟件，從而保護(hù)您的基本權(quán)利。

5、其他用途

IDA Pro在學(xué)術(shù)界引起了很多興趣。在這里可以看到IDA Pro發(fā)揮作用的部分論文清單。

系統(tǒng)要求

Windows
需要當(dāng)前支持的 x64 操作系統(tǒng)（Windows 8 或更高版本，建議使用 Windows 11 或更高版本）。
Linux
x64 (x86_64) CentOS 7 或更高版本、Ubuntu 16.04 或更高版本。其他等效發(fā)行版也可使用，但不保證。
操作系統(tǒng) X
macOS Catalina 或更高版本（x64 或 ARM64）。

使用說明

解壓運(yùn)行安裝程序idapro_90_x64win.exe，然后輸入安裝密碼即可免費(fèi)使用。

2、編輯許可證信息，注意到期時(shí)間不要超過10年

3、將ida/ida64 dll/so/dylib放在與script相同的目錄下

4、運(yùn)行腳本生成license

5、復(fù)制生成的license，并將dll替換為補(bǔ)丁

6、運(yùn)行激活

更新日志

IDA 9.0 beta 2 中修復(fù)的問題

IDA 首頁：云反編譯器無法使用
將所有對 ida.key 的引用替換為 ida.hexlic
IDA Linux 安裝程序在安裝程序目錄中創(chuàng)建了一個(gè)奇怪的目錄
IDA Home：缺少 IDA Pyton 模塊 "ida_mergemod"
MacOS 上缺少 style dylib
反編譯器：導(dǎo)航到不可反編譯函數(shù)時(shí)崩潰
asmtil：interr 918 + 過濾大量類型時(shí)崩潰
idapython：idc.get_ordinal_qty() 不可用
添加了 wasm 加載器和處理器模塊

IDA 9.0 beta 1 的已知問題

IDA Teams 服務(wù)器（保險(xiǎn)庫）尚不可用
IDA 浮動(dòng)許可證服務(wù)器 （licsrv） 尚未提供
Linux 安裝程序中的對話框文本在深色主題處于活動(dòng)狀態(tài)的 Ubuntu 上不可讀
Linux 安裝程序創(chuàng)建名為“***unknown variable uninstallerdirectory***”的空目錄
iOS18 DSC objc 分析缺乏開箱即用（__OBJC_RO暫時(shí)必須手動(dòng)加載）
IDA 可能會(huì)在文件加載時(shí)在 x64 macOS 上崩潰

使用 IDAlib 進(jìn)行無頭處理

借助 IDAlib，可以從 IDA 外部使用 C++ 和 Python API 來構(gòu)建獨(dú)立應(yīng)用程序。這 生成的程序或腳本不必在 IDA 中加載，而是從 IDA 調(diào)用引擎 在您的應(yīng)用程序中。

這使得針對 IDA API 進(jìn)行開發(fā)變得更加容易 - 如果配置正確，您可以獲得自動(dòng)完成功能 并在您最喜歡的 C++/Python IDE 中進(jìn)行調(diào)試

無需 RCP 或 IPC 即可連接到外部 IDA 流程，這意味著您可以獲得原生的執(zhí)行速度

WASM 反匯編器和文件格式加載器

隨著許多應(yīng)用程序轉(zhuǎn)向客戶端瀏覽器應(yīng)用程序，我們看到需要一個(gè)新的 Web 反匯編器。 程序集 （WASM）。

WASM 代碼嵌入到其自己的二進(jìn)制文件格式中。因此，我們還提供了一個(gè)文件加載器，可以解碼 WASM 文件格式

nanoMIPS 反匯編器和解編譯器 + md1rom 加載器

MIPS 反匯編器和解編譯器都增加了對 nanoMIPS 指令的支持。nanoMIPS支持 包含在經(jīng)典 MIPS （HEXMIPS） 反編譯器中，因此無需購買額外的許可證。

為 nanoMIPS 編譯的固件通常以 md1rom 格式提供，這就是我們將 md1rom 文件加載器添加到 IDA（包括解析和應(yīng)用調(diào)試符號(hào)，如果可用）

新的 RISC-V 反編譯器和反匯編器擴(kuò)展

針對 32 位和 64 位 RISC-V 代碼（HEXRV 和 HEXRV64）的新反編譯器現(xiàn)已推出。

我們擴(kuò)展了 RISC-V 處理器模塊，以支持 T-Head 擴(kuò)展指令（用于玄鐵和 全志處理器）

反編譯器中的 C++ 異常支持

反編譯器現(xiàn)在可以發(fā)出 / 塊。作為第一步，我們實(shí)施了 在使用 Microsoft VC++ 為 x64 編譯的二進(jìn)制文件中支持 C++ 異常方案trycatch

IDAPython 改進(jìn)

現(xiàn)在，大多數(shù) IDAPython API 都有類型注釋，從而減少了 API 的使用障礙。

現(xiàn)在支持 Python 虛擬環(huán)境 - 只需指向包含以下內(nèi)容的目錄 虛擬環(huán)境中的解釋器（由激活腳本自動(dòng)完成）。$PATH

Python API 中返回的對象已正確零初始化。

IDA CLI 中的自動(dòng)完成功能現(xiàn)在忽略并自動(dòng)生成的 SWIG 方法， 這樣可以減少噪音并有助于更輕松地找到特定功能。__magic_methods__

FLIRT更新

我們進(jìn)行了大規(guī)模更新、現(xiàn)代化改造，并擴(kuò)大了可用于IDA的FLIRT簽名數(shù)量。如 在此版本中，我們?yōu)橐韵虏僮飨到y(tǒng)提供（并計(jì)劃維護(hù)）簽名： 語言、架構(gòu)和軟件包：

高朗：

版本：穩(wěn)定版本從 1.10.0 到 1.22.5 和不穩(wěn)定版本 1.23.0-rc1/1.23.0-rc2

Windows：x86、x64、arm、arm64

Linux的：i386、amd64、arm、arm64

達(dá)爾文：amd64、arm64

C/C++

Windows （MSVC）：

架構(gòu)：arm、arm64、i386、amd64

包：ATL、CTL、MFC、Windows SDK 10、Windows SDK 11

Linux的：

發(fā)行版：Ubuntu 和 Debian

架構(gòu)：i386、amd64、arm64、armhf、armel、arm、s390x、mips64el、mipsel、mips、ppc64el

軟件包：libc6、libselinux1、libpcre2、libidn2、libssl、zlib1g、lib32z1、libunistring、 libcurl4-gnutls、libcurl4-nss、libcurl4-openssl、libnghttp2、libidn2、librtmp、libssh、 libssh-gcrypt、libpsl、libldap、libzstd、libbrotli、libgnutls28、nettle、libgmp、comerr、libsasl2、 libbrotli、libtasn1-6、libkeyutils、libffi、uuid、libprotobuf、heimdal-multidev、musl、libplib、 libsdl1.2-bundle （libsdl-console、libsdl-sge、libsdl1.2、libsdl-ocaml、libsdl-image1.2、 libsdl-kitchensink、libsdl-mixer1.2、libsdl-net1.2、libsdl-sound1.2、libsdl-ttf2.0、 libsdl1.2-compat、libsdl-gfx1.2、libsdl-pango）、libsdl2-bundle（libsdl2、libsdl2-gfx、libsdl2-image、 libsdl2-混頻器、libsdl2-net、libsdl2-ttf）

插件的元數(shù)據(jù)描述符

ida-plugin.json現(xiàn)在為插件提供了一個(gè)標(biāo)準(zhǔn)化的入口點(diǎn)。這使插件作者能夠 要遵循他們自己的插件目錄結(jié)構(gòu)，他們需要做的就是將 IDA 指向主插件條目 點(diǎn)。為了保持向后兼容性，IDA 將在幾個(gè) 9.0 之前的方式繼續(xù)加載插件 釋放。

使用以下目錄結(jié)構(gòu)：

plugins
└── ida_greeter
    ├── ida-plugin.json
    └── main.py
可能的可能如下所示：ida-plugin.json

{
  "plugin" :
  {
    "name" : "greeter",
    "entryPoint" : "main.py"
  }
}

不再有IDA32

我們在幾個(gè)版本前棄用了 IDA32。在 IDA 9.0 中，我們將統(tǒng)一針對 32 或 64 的 IDA 二進(jìn)制文件 將代碼僅位到一個(gè) IDA64 二進(jìn)制文件中。這意味著：

已安裝文件的數(shù)量減少了一半

對于原生插件維護(hù)者來說，生活更輕松，因?yàn)橹恍枰粋€(gè)版本 （） 保持。__EA64__

IDA64 透明且自動(dòng)地將 IDB 文件轉(zhuǎn)換為 I64 文件格式。

UI 改進(jìn)

舊的枚舉和結(jié)構(gòu)視圖將被完全刪除，并由局部類型替換。這也意味著 那個(gè)和他們的對應(yīng)物，并從 API 中消失?，F(xiàn)在，兩個(gè)接頭/模塊的替換功能都已實(shí)現(xiàn) 位于（大部分）位于 / 中。將提供移植指南 用于發(fā)布。struct.hppenum.hppida_structida_enumtypeinf.hppida_typeinf

函數(shù)原型編輯器（又名函數(shù)名稱的快捷方式）現(xiàn)在可以在 經(jīng)典的自由文本單行編輯器和新的多行編輯器，具有通常的快捷方式和控件。由 同時(shí)，我們增加了對基于 UI 的參數(shù)位置編輯的基本支持，以制作原型語法 記住起來不那么麻煩。y

現(xiàn)在可以為結(jié)構(gòu)指定固定尺寸，并輕松實(shí)現(xiàn)現(xiàn)場包裝

現(xiàn)在可以選擇一組更新的快捷方式，這些快捷方式更符合現(xiàn)代操作系統(tǒng)的約定，而不是 傳統(tǒng)的捷徑

更改和新功能的完整列表

處理器模塊

ARM：改進(jìn)對間接跳轉(zhuǎn)指令目標(biāo)的檢測
ARM：改進(jìn)了 prolog 分析，以識(shí)別和標(biāo)記對chkstk_darwin
AVR：更新 ATmega640 的缺失位定義
MIPS：支持NanoMIPS指令集
RISCV：增加了對遺留指令 sfence.vm 的支持
RISCV：增加對 T-Head 自定義指令的支持
wasm：新的處理器模塊（Web Assembly）

文件格式

ELF：增加了對 nanoMIPS 的支持
ELF：ARM64：增加了對 ILP32 使用的重定位類型的支持R_AARCH64_P32_TLS_TPREL
md1img：聯(lián)發(fā)科調(diào)制解調(diào)器固件映像（nanoMIPS 和 MIPS16e2）的加載器
MACHO：支持格式 5 （__chain_startsDYLD_CHAINED_PTR_32_FIRMWARE)

調(diào)情 / 瓷磚 / IDS

FLAIR：PCF：添加了對 ARM64 COFF 文件的支持
pelf：正確處理 ELF32 用于 AArch64 （ILP32）

標(biāo)準(zhǔn)插件

eh_parse：跳過 PE 文件在 x64 中的前導(dǎo)和尾隨零條目（真正的二進(jìn)制文件有 他們）;改進(jìn)了調(diào)試版本中對異常調(diào)度器函數(shù)的識(shí)別.pdata
eh_parse：x64 異常處理程序是獨(dú)立函數(shù)，而不是函數(shù)塊
EH34：用于處理 MSVC x64 構(gòu)建的二進(jìn)制文件的 C++ 異常的新插件
PDB：添加了一個(gè)選項(xiàng)，用于僅加載名稱（當(dāng)您不需要類型時(shí)，對于大型 PDB 很有用）

內(nèi)核/雜項(xiàng)

goodname.cfg：改進(jìn) MSVC STL 類的簡化
kernel：支持ida-plugin.json
內(nèi)核：改進(jìn)了 strlit 檢測（短的已轉(zhuǎn)換為數(shù)據(jù)項(xiàng)）
noret.cfg：將 terminate std_terminate添加到不返回函數(shù)列表中
安裝程序：macOS：將所有內(nèi)容安裝到一個(gè)捆綁包中.app
許可：用自定義的 Hex-Rays 許可服務(wù)器替換 FlexNet 許可服務(wù)器（僅限浮動(dòng)許可）

腳本和 SDK

IDAPython：添加和find_binaryfind_string
IDAPython：添加了虛擬環(huán)境檢測 （venv）
IDAPython：為 pro.h 中定義的整數(shù)類型添加了更多指針包裝器
IDAPython：idapyswitch 現(xiàn)在可以用于只讀 IDA 安裝
IDAPython：已從 CLI 自動(dòng)完成中刪除__magic_methods__
IDAPython：零初始化 Python API 中公開的 C++ 對象
IDAPython：讀取時(shí)應(yīng)返回一個(gè)空對象 錯(cuò)誤，不是loader_input_t.read()bytesNone
SDK：為插件和加載器添加 Visual Studio 模板
SDK：添加了 / 函數(shù)標(biāo)志來標(biāo)記異常處理程序，它們 在反編譯時(shí)將被忽略FUNC_UNWINDFUNC_CATCH
SDK：添加以啟動(dòng)進(jìn)程并與其建立雙向通信pipe_process()
SDK：已添加qlist::splice()
SDK：移至node_ordering_tgdl.hpp
SDK：發(fā)布基礎(chǔ)撤銷界面（創(chuàng)建撤銷點(diǎn)、撤銷、重做）
SDK：重命名abstract_graph_t -> drawable_graph_t; mutable_graph_t -> interactive_graph_t

用戶界面

UI：添加了保留結(jié)構(gòu)大小的選項(xiàng)（固定大小的結(jié)構(gòu)體）
UI：添加了“打包字段”復(fù)選框以控制結(jié)構(gòu)體字段之間的間隙
UI：命令面板：修復(fù)有關(guān)“命令失敗”的錯(cuò)誤報(bào)告
用戶界面：以更靈活的方式將本地類型導(dǎo)出/導(dǎo)入到 IDC。用戶可以選擇 不同的策略，例如：加載類型并跳過相等的策略。
UI：如果 IDA 已經(jīng)打開了一個(gè)文件，則“打開”會(huì)在新的 IDA 實(shí)例中打開一個(gè)文件
用戶界面：現(xiàn)在可以通過在 “類型庫”視圖
UI：新的快捷方式集更符合現(xiàn)代操作系統(tǒng)慣例
UI：去掉了“結(jié)構(gòu)體”和“枚舉”小部件
UI：新快捷方式：Alt-（和 CMD-）跳轉(zhuǎn)到窗口

反編譯器

反編譯器： RISCV： 添加了 RV32 和 RV64 反編譯器
decompiler：添加了 try/catch ctree 語句
DeCompiler：改進(jìn)了對可變參數(shù)類型的檢測
decompiler：引入了一個(gè)新事件：hxe_inlining_func
反編譯器：發(fā)布了一些圖形算法（pre/port ordering 和 dominator 計(jì)算）
反編譯器：發(fā)布了 control_graph_t 類;使第三方插件能夠執(zhí)行 結(jié)構(gòu)分析
decompiler： arm： 添加了對 VSEL insn （ARMv8-M） 的支持
反編譯器：Impoved 結(jié)構(gòu)復(fù)制識(shí)別
反編譯器：通過引入“saved_to_idb”改進(jìn)了cfunc_t緩存;否則，我們將保存所有反編譯的 對每個(gè)“save_database”起作用，一次又一次
反編譯器：改進(jìn)了與二進(jìn)制運(yùn)算符相比的常量表示
Decompiler：改進(jìn)了 HexRay 歷史記錄以支持 C++ 異常處理程序
decompiler：改進(jìn)了關(guān)于丟失許可證的錯(cuò)誤消息：告訴用戶缺少什么許可證
decompiler： MIPS： 添加了對 movtz 和 movtn 的支持 （MIPS16e2）

Bug修復(fù)

BUGFIX：ARM：在大型 32 位固件二進(jìn)制文件上分析速度可能很慢
BUGFIX： ARM： 修復(fù)了在主函數(shù)進(jìn)入之前分析函數(shù)塊時(shí)可能發(fā)生的無限循環(huán)
BUGFIX：ARM：停止解碼未定義的 MOV Wx、#imm 變體（imm 不適合 32 位）
BUGFIX： cvt64： 如果舊的 .idb 路徑包含空格，則將舊的 .idb 轉(zhuǎn)換為 .i64 將失敗
BUGFIX：調(diào)試器：win32_remote.exe不必要地需要在 Windows Vista 中引入的 API，并且會(huì) 不再在XP上運(yùn)行
BUGFIX： 反編譯器： 具有可變大小結(jié)構(gòu)的表達(dá)式可能會(huì)被誤處理
BUGFIX： 反編譯器： IDA 可能會(huì)在多個(gè)時(shí)抱怨 “找不到匹配的產(chǎn)品許可證” 已安裝反編譯器
BUGFIX： 反編譯器： 由 UI 相關(guān)代碼觸發(fā)的內(nèi)部錯(cuò)誤（例如生成工具提示）可能導(dǎo)致 “未知的 C++ 異常”致命錯(cuò)誤
BUGFIX：反編譯器：在某些情況下，按 F5 不會(huì)刷新偽代碼窗口;我們丟棄了 反編譯結(jié)果
BUGFIX： 反編譯器： 值范圍優(yōu)化可能導(dǎo)致代碼被錯(cuò)誤刪除
BUGFIX：DSCU：跨多個(gè)子緩存文件的 GAP 無法加載
BUGFIX： kernel： IDA on Linux 對 libsecret 有不必要的硬依賴性，并且拒絕在沒有的情況下運(yùn)行 它。
BUGFIX：導(dǎo)航到與已知類型名稱匹配的全局名稱將失敗
BUGFIX： objc： NS*塊引用檢測錯(cuò)誤最終會(huì)導(dǎo)致在 不相關(guān)的數(shù)據(jù)
BUGFIX： PC： / 不修改 x64 代碼中的 rsp 或 rax， 與 x86 不同alloca_probechkstk_ms
修復(fù)：PC：REX前綴可能被錯(cuò)誤地應(yīng)用于32位指令
BUGFIX： PC： vmovw 指令被解碼為使用 16 位寄存器（實(shí)際上使用 32 位寄存器）
BUGFIX： PDB： 從一些大型 PDB 移植類型會(huì)失敗，并顯示 “達(dá)到最大遞歸級別”
修正：RISCV：fence.i 指令未解碼
BUGFIX： SDK： 修復(fù)了 reg_finder_t 中的調(diào)試/opt 構(gòu)建不兼容問題 （std：：map member）
BUGFIX： SDK： 并且在位圖上會(huì)表現(xiàn)得很錯(cuò)誤 大小不是 8 的倍數(shù)set_all_bits()clear_all_bits()
BUGFIX：有時(shí)有關(guān)新創(chuàng)建的類似范圍的實(shí)體（段/函數(shù)/...）的信息可能會(huì)丟失 在撤消期間
BUGFIX： tinfo： 已刪除枚舉的外部參照未被刪除
BUGFIX： UI： “輸出”窗口中的大量行可能會(huì)導(dǎo)致速度變慢
BUGFIX： UI：使用顏色代碼時(shí)（例如在自定義查看器中），IDA 將使用默認(rèn)值 文本的顏色，而不是以前的背景顏色COLOR_INV