reverse-engineering - 告诉 IDA Pro 一个内存区域包含一个指针表

Question

我有一个嵌入式 CPU 的二进制镜像，其中内存区域包含许多指向二进制文件入口点的指针。这是 CPU 使用的二进制中的中断向量表。我如何向 IDA 提示此内存是什么，以便它可以使用入口点进行分析？

Answer 1

我假设您已经为加载的二进制图像使用正确的处理器设置了 IDB。

如果图像文件是原始文件(即没有标题)，您可以在选项->常规中的反汇编选项卡下定义低/高地址可疑限制。

使用此设置，您可以将此向量中的第一个元素设置为偏移量，方法是将文本光标放在第一个字节上并按“O”或“Ctrl+O”。您还可以为“用户定义”偏移执行“Ctrl+R”(打开一个包含多个选项的对话框)。所有的各种偏移量都可以在Edit->Operand type->Offset->...下查看

设置好第一个元素后，将文本光标放在上面，然后您可以按小键盘上的“*”键创建一个实际数组(假设您知道向量中有多少个元素)。这应该将相同的操作数类型信息应用于数组中的所有元素。由于在这种情况下操作数是一个偏移量，IDA 应该(自动)尝试反汇编引用的字节。

注意:如果一个元素的值落在可疑限度之外，它不会变成一个偏移量

如果这是原始图像，如果您知道二进制文件包含纯代码或纯数据部分，您可能希望设置一些段信息 (Shift+F7)。我不确定上面提到的“自动反汇编”是否仅在段的类定义为“CODE”时才完成，或者它是否重要。

注意:您始终可以通过按工具栏中的彩色圆圈图标(它应该是绿色的，否则 IDA 正在忙着做某事)或通过单击“常规”->“选项”的“分析”选项卡中的“重新分析程序”来重新运行分析。