Question

当前，恶意软件大多是模糊程序。因此，如果你希望研究一个恶意软件样本的内部运行机制，几乎可以肯定，你需要完成某种类型的去模糊任务。无论你是采用调试器辅助的动态去模糊方法，还是不想运行可能恶意的代码，而选择使用脚本或模拟对二进制文件进行去模糊处理，你的最终目标都是生成一个可以被完全反汇编、正确分析的去模糊二进制文件。多数情况下，最后的分析都要由 IDA 之类的工具来完成。鉴于此（即使用 IDA 进行分析），尝试从头至尾使用 IDA 似乎有一定的道理。本章讨论的各种技巧旨在说明 IDA 除生成反汇编代码清单以外的其他许多功能。在第 25 章中，我们将再次讨论模糊代码，并说明如何将 IDA 的内部调试器作为一个去模糊工具。