【IDA PRO权威指南】一

很喜欢这本书第一页上的一句话“站在巨人的肩上”，确实要好好读读这些本好书，不限于实用的工具书，还包括别的读物。
不扯了，今天开始也会写一些这本书的读书笔记，不会像就【加密与解密】那样分章节，而是有什么想写的就会写出来，内容多了就发一篇。

再认识一下这个开始界面吧

New引导选择一个新文件，Go不选文件直接进入，Previous选择近期打开的文件

顶部这个列表会显示最适合处理选定文件的IDA加载器。IDA通过loaders目录下的每一个加载器，来确定识别新文件的加载器。
PE文件格式是MSDOSEXE文件格式的扩展形式。BinaryFile二进制文件一般是提供最低级的文件加载方法，用于识别无法识别的文件。
processType（处理器类型）指定反汇编过程中使用的处理器模块。
若同时选择二进制文件也就是binaryfile和一种x86处理器，则loading segment（加载段）和loading offset（加载偏移量）会处于活跃状态、也就是需要自己控制汇编开始的基址。
kernel option（核心选择）用于配置特定的反汇编分析选项。
processor options（处理器选项）用于选择适用选中的处理器模块的配置选项。
IDA数据库文件。打开一个文件进行加载的时候会产生四个文件

.id0 一个二叉树形式的数据库
.id1描述每个程序字节的标记
.nam包含与ida的Names窗口中显示的给定程序位置有关索引信息
.til存储与给定数据库的本地类型定义有关的信息
被存档的时候会一起压缩成一个idb文件。而ida一旦为某个文件创建数据库，就不在需要访问这个文件，只要看他的数据库就可以了。

第一个不打包不创建idb文件
第二个打包成一个idb
第三个和第二个一样区别在于将数据库组件文件压缩到idb归档文件中
第四个收集垃圾
第五个不保存数据库（当你调试了但不想更改数据库的时候）

认识界面

①工具栏区域打开view toolbars advanced mode有高级模式工具栏三排工具按钮
②导航带黄色为指向与当前反汇编窗口现实的地址范围的导航带地址
③为每一个数据显示窗口提供标签
④反汇编视图显示主要数据有图形模式和列表模式
⑤图形窗口时很少能全部显示完所以有个图形概况视窗
⑥输出窗口显示ida输出的信息
⑦函数窗口

接下来是详细讲

反汇编窗口

有图形视图和列表视图

ida图形视图

分成很多基本块，一般来讲绿色箭头为yes，红色为no。
可以通过分组和折叠块来减少现实的混乱程度，要折叠的话右击块的标题栏，选择groupnodes

ida文本视图

可以通过options general打开ida常规选型然后再disassembly选项卡启用行前缀打开地址变成如下

这里的①是箭头窗口，虚线是条件跳转，实线是非条件跳转，如果有一个跳转将程序的控制权交给地址某个之前的位置，会使用粗线，通常表示一个循环

②是ida对于函数栈帧布局的最准确估算（栈帧也称激活记录，是在程序的运行时栈中分配的一个内存块，其中包含传递给一个函数的参数和该函数声明的局部变量，栈帧在函数的入口位置分配，退出时释放）
③的注释为属于交叉引用，表示另一个程序指令将控制权转交给交叉引用注释所在指令的位置的指令。