IDA分析实战流程：

1. 打开程序后的初步分析
   - 查看入口点（程序从哪里开始执行）
   - 检查导入表（程序使用了哪些API）
   - 查看字符串（可能包含关键信息）

2. 定位关键代码
   - 从字符串定位：找到"Wrong Password"等提示
   - 从API定位：找MessageBox、strcmp等调用
   - 从交叉引用追踪：X键查看谁调用了它

3. 分析关键函数
   - F5生成伪代码，更易理解
   - 重命名变量和函数
   - 添加注释记录分析结果

4. 常用分析模式
   - 密码验证：找strcmp、memcmp调用
   - 网络通信：找send、recv调用
   - 文件操作：找CreateFile、ReadFile调用

x64dbg调试实战流程：

1. 附加/打开程序
   - 文件 -> 打开：启动并调试新程序
   - 文件 -> 附加：调试已运行的程序

2. 设置断点策略
   - 在入口点断下（默认）
   - 在关键API下断点（如MessageBoxA）
   - 在可疑地址下断点

3. 单步调试技巧
   - F7步入：进入每个函数详细分析
   - F8步过：跳过已知函数
   - F9运行：运行到下一个断点

4. 内存观察
   - 右键 -> 在内存窗口跟随
   - 观察数据变化
   - 设置硬件断点监控写入

5. 修改程序行为
   - 修改寄存器值
   - 修改内存数据
   - 修改指令（NOP填充、改跳转）

练习1：动态分析程序流程
1. 在main函数入口下断点
2. 单步执行观察流程
3. 观察寄存器和栈变化
4. 找到关键判断点

练习2：修改程序行为
1. 找到跳转指令
2. 使用NOP或修改跳转
3. 观察程序行为变化
4. 保存补丁

练习3：分析加密算法
1. 在输入函数后下断点
2. 观察输入数据如何被处理
3. 使用硬件断点跟踪数据流
4. 还原加密逻辑

基本数值搜索流程：
1. 打开CE，附加目标进程
2. 选择正确的数据类型（4字节/浮点等）
3. 输入当前数值，首次扫描
4. 在游戏中改变数值
5. 输入新数值，再次扫描
6. 重复直到找到唯一地址
7. 修改数值或锁定

未知初始值搜索流程：
1. 选择"未知的初始值"，首次扫描
2. 在游戏中让数值变化
3. 选择"增加了的数值"或"减少了的数值"
4. 重复扫描直到缩小范围
5. 找到目标地址

指针扫描流程：
1. 找到动态地址
2. 右键 -> 指针扫描
3. 设置扫描参数（通常Max Level 5-7）
4. 重启游戏验证
5. 比较结果，找出稳定指针路径

-- CE Lua脚本示例

-- 读取内存
local value = readInteger("[[game.exe+0x123456]+0x10]+0x20")
print("当前值: " .. value)

-- 写入内存
writeInteger("[[game.exe+0x123456]+0x10]+0x20", 999)

-- 自动汇编脚本示例
[ENABLE]
aobscanmodule(HEALTH_WRITE, game.exe, 89 86 ?? ?? ?? ?? 8B 45)
alloc(newmem, 1024)

newmem:
  mov [esi+000001A4], #999  // 写入999
  jmp return

HEALTH_WRITE:
  jmp newmem
  nop
return:

[DISABLE]
HEALTH_WRITE:
  mov [esi+000001A4], eax

场景1：分析程序打开了哪些文件
-> 使用Process Monitor过滤目标进程，查看文件操作

场景2：检测程序是否加壳
-> 使用DIE识别壳类型和编译器

场景3：分析程序调用了哪些API
-> 使用API Monitor监控API调用和参数

场景4：修改PE文件
-> 使用CFF Explorer编辑PE头

; 特征：直接地址访问
MOV EAX, DWORD PTR DS:[0x00404000]  ; 读取全局变量
MOV DWORD PTR DS:[0x00404000], 100   ; 写入全局变量

; 对应C代码：
int g_value;  // 地址 0x00404000
g_value = 100;

; 特征：[EBP-X] 或 [ESP+X] 访问
MOV DWORD PTR SS:[EBP-4], 10      ; 第1个局部变量
MOV DWORD PTR SS:[EBP-8], 20      ; 第2个局部变量

; 对应C代码：
int local1 = 10;
int local2 = 20;

; 特征：[EBP+X] 访问，X >= 8
MOV EAX, DWORD PTR SS:[EBP+8]     ; 第1个参数
MOV EBX, DWORD PTR SS:[EBP+C]     ; 第2个参数

; 对应C代码：
void func(int param1, int param2) {
    // param1 = [EBP+8]
    // param2 = [EBP+C]
}

; 特征：基址 + 索引 * 元素大小
MOV EAX, DWORD PTR DS:[ECX*4+0x00404000]  ; arr[i]
MOV EAX, DWORD PTR DS:[ESI+EDI*4]         ; arr[i]，ESI为基址

; 对应C代码：
int arr[100];  // 基址 0x00404000
x = arr[i];    // ECX = i

; 特征：基址 + 固定偏移
MOV EAX, DWORD PTR DS:[ESI]       ; obj->field1 (offset 0)
MOV EBX, DWORD PTR DS:[ESI+4]     ; obj->field2 (offset 4)
MOV ECX, DWORD PTR DS:[ESI+10]    ; obj->field3 (offset 0x10)

; 对应C代码：
struct MyStruct {
    int field1;    // +0x00
    int field2;    // +0x04
    // padding
    int field3;    // +0x10
};
MyStruct* obj;
x = obj->field1;

; C代码: if (x > 10) { ... } else { ... }

CMP DWORD PTR SS:[EBP-4], 10    ; 比较x和10
JLE short loc_401020            ; 不满足则跳过if块
    ; if 块代码
    MOV EAX, 1
    JMP short loc_401030
loc_401020:                      ; else 块
    MOV EAX, 0
loc_401030:

; 小范围连续case - 跳转表模式
CMP EAX, 5                      ; 检查是否超出范围
JA loc_default                  ; > 5 则default
JMP DWORD PTR DS:[EAX*4+jump_table]  ; 跳转表

jump_table:
    DD case_0
    DD case_1
    DD case_2
    DD case_3
    DD case_4
    DD case_5

; C代码: for (int i = 0; i < 10; i++) { ... }

XOR ECX, ECX                    ; i = 0
JMP short loc_cond_check
loc_loop_body:
    ; 循环体
    ; ...
    INC ECX                     ; i++
loc_cond_check:
    CMP ECX, 10                 ; i < 10?
    JL short loc_loop_body

; C代码: while (x != 0) { x--; }

loc_while_check:
    CMP DWORD PTR SS:[EBP-4], 0
    JE short loc_while_end      ; 条件不满足则退出
    ; 循环体
    DEC DWORD PTR SS:[EBP-4]
    JMP short loc_while_check
loc_while_end:

; C代码: do { x--; } while (x != 0);

loc_do_body:
    ; 循环体
    DEC DWORD PTR SS:[EBP-4]
    CMP DWORD PTR SS:[EBP-4], 0
    JNE short loc_do_body       ; 满足则继续

; 典型函数序言
PUSH EBP               ; 保存旧栈帧
MOV EBP, ESP           ; 建立新栈帧
SUB ESP, 0x20          ; 分配局部变量空间
PUSH EBX               ; 保存被调用者保存寄存器
PUSH ESI
PUSH EDI

; 典型函数尾声
POP EDI                ; 恢复寄存器
POP ESI
POP EBX
MOV ESP, EBP           ; 或 ADD ESP, 0x20
POP EBP                ; 恢复调用者栈帧
RET                    ; __cdecl
; 或
RET 0xC                ; __stdcall, 清理12字节参数

; 调用方
PUSH 3                 ; 参数c
PUSH 2                 ; 参数b
PUSH 1                 ; 参数a
CALL func
ADD ESP, 12            ; 调用者清理3个参数 (3*4=12字节)

; 特征：调用后有 ADD ESP, N

; 调用方
PUSH 3
PUSH 2
PUSH 1
CALL func              ; 函数内部 RET 12

; 函数内部
RET 12                 ; 被调用者清理参数

; 特征：RET N，调用后无ADD ESP

; 调用方
PUSH d                 ; 第4个参数入栈
PUSH c                 ; 第3个参数入栈
MOV EDX, b             ; 第2个参数用EDX
MOV ECX, a             ; 第1个参数用ECX
CALL func

; 特征：前两个参数用ECX, EDX

; 调用 obj->method(a, b)
PUSH b
PUSH a
MOV ECX, obj           ; this指针
CALL method

; 特征：this指针在ECX

; 方法1：查看栈清理大小
ADD ESP, 0x10          ; 0x10 / 4 = 4个参数

; 方法2：查看RET指令
RET 0x14               ; 0x14 / 4 = 5个参数

; 方法3：查看函数内部参数访问
MOV EAX, [EBP+8]       ; 参数1
MOV EBX, [EBP+C]       ; 参数2
MOV ECX, [EBP+10]      ; 参数3
; 最高偏移 (0x10 - 8) / 4 + 1 = 3个参数

; strlen 特征
XOR ECX, ECX                    ; len = 0
loc_loop:
    CMP BYTE PTR [EAX+ECX], 0   ; str[len] == 0?
    JE short loc_end
    INC ECX                     ; len++
    JMP short loc_loop
loc_end:
; ECX = 字符串长度

; strcpy/memcpy 特征
; REP MOVSB/MOVSW/MOVSD
MOV ESI, src                    ; 源
MOV EDI, dst                    ; 目标
MOV ECX, len                    ; 长度
REP MOVSB                       ; 按字节复制

; strcmp 特征
loc_cmp:
    MOV AL, [ESI]
    MOV BL, [EDI]
    CMP AL, BL
    JNE short loc_diff
    TEST AL, AL                 ; 检查结束
    JE short loc_equal
    INC ESI
    INC EDI
    JMP short loc_cmp

; XOR加密 特征
MOV ECX, len
MOV ESI, data
loc_xor:
    XOR BYTE PTR [ESI], key     ; data[i] ^= key
    INC ESI
    LOOP loc_xor

; 识别方法：循环中的XOR操作

查找特征字符串：
"ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789+/"

查找特征操作：
SHR x, 2                        ; >> 2
AND x, 0x3F                     ; & 0x3F (63)

查找多项式常数：
0xEDB88320                      ; 反射多项式
0x04C11DB7                      ; 正向多项式

查找预计算表（256项）

MD5特征常数：
0x67452301, 0xEFCDAB89, 0x98BADCFE, 0x10325476

SHA1特征常数：
0x67452301, 0xEFCDAB89, 0x98BADCFE, 0x10325476, 0xC3D2E1F0

findcrypt-yara：自动识别加密算法
- 识别MD5、SHA、AES、DES等
- 通过特征常数定位

FLARE IDA：FireEye开发的分析工具集
signsrch：签名搜索