دليل IDA Pro / IDA Free — الدليل الشامل للمهندسين العكسيين

يُعد IDA (Interactive Disassembler) من شركة Hex-Rays المعيار الصناعي والاحترافي في مجال الهندسة العكسية للملفات الثنائية (Binary Reverse Engineering). تتوفر نسخة IDA Free مجاناً بدون مُعيد بناء كود (Decompiler)، بينما تضيف نسخ IDA Home / Pro معيد بناء الكود Hex-Rays، ومصحح أخطاء (Debugger)، ودعماً أوسع لمختلف المعماريات.

الإصدارات (Editions)

في معظم المهام الاحترافية التي تتطلب استخدام Hex-Rays، يُعتبر إصدار Pro ضرورياً.

تحميل الملف الثنائي (Loading a binary)

1. سحب الملف وإفلاته داخل IDA ← سيتعرف المحلل تلقائياً على النوع (PE, ELF, Mach-O, COFF, IntelHEX, raw, …).
2. نافذة خيارات المحلل (Loader options) — عادة ما نضغط OK.
3. يبدأ التحليل التلقائي (Auto-analysis) ويستغرق من ثوانٍ إلى دقائق حسب حجم الملف.

الواجهة الافتراضية (Layout)

اختصارات لوحة المفاتيح الأساسية

سير عمل الكود المعاد بناؤه (Hex-Rays Workflow)

int __cdecl encrypt(char *data, int len) {
    int v3; // edx
    char v4; // dl
    // انقر بزر الفأرة الأيمن ← Edit function: لإعادة التسمية وتحديد نوع القيمة المعادة
    // اضغط Y على `len` ← لتغيير النوع إلى size_t
    // اضغط `/` لإضافة تعليق على السطر
    // اضغط F2 في وضع الكود المعاد بناؤه: لتعيين نقطة توقف (Break point) عند التصحيح
    ...
}

استخدم Ctrl+→ / Ctrl+← للتنقل في تاريخ القفزات. انقر بزر الفأرة الأيمن واختر Show pseudocode for ALL لإعادة بناء الكود للملف كاملاً في تبويبات متعددة.

تواقيع FLIRT — التعرف على دوال المكتبات

يأتي IDA مزوداً بتواقيع FLIRT signatures لمكتبات شهيرة مثل libc وMSVCRT وOpenSSL. تقوم هذه الميزة بإعادة تسمية دوال المكتبات تلقائياً عند التحميل. لإنشاء تواقيع مخصصة:

البرمجة والتطوير (Pro)

يدعم IDA لغتين للبرمجة النصية:

• IDC — لغة الماكرو الأصلية في IDA (تشبه C).
• IDAPython — مكتبة ربط للغة Python 3.

# مثال IDAPython — سرد جميع عمليات الاستدعاء لـ malloc
import idautils, idc, idaapi
malloc = idc.get_name_ea_simple("malloc")
for ref in idautils.CodeRefsTo(malloc, 0):
    print(hex(ref), idc.GetDisasm(ref))

إضافات (Plugins) ينصح بها

• HexRaysCodeXplorer — تحسين التنقل في الكود المعاد بناؤه.
• Lighthouse — تغطية الكود (Code coverage) عبر تتبع DynamoRIO / PIN.
• Diaphora — مقارنة الملفات الثنائية (Binary diffing).
• Capa explorer — قواعد Mandiant لاكتشاف قدرات الملف الثنائي.
• ret-sync — مزامنة مؤشر IDA مع x64dbg / gdb / windbg.
• IDArling — العمل الجماعي لعدة مستخدمين على نفس الملف.

مصحح الأخطاء (Debugger)

يتضمن إصدار Pro مصحح أخطاء محلي (x64 / x86 / ARM)، وعن بُعد عبر ida-server أو windbg-remote.

سير العمل عند تحليل عينة برمجية خبيثة (Malware)

1. سحب الملف وقبول الإعدادات الافتراضية.
2. تبويب النصوص (Strings) — ملاحظة روابط URL، مسارات الملفات، وأسماء الـ Mutex.
3. الموارد المستوردة (Imports) — فحص دوال مثل CryptEncrypt وWriteProcessMemory وCreateRemoteThread.
4. البحث عن الدوال الرئيسية مثل main أو WinMain أو DllMain.
5. اضغط F5 لإعادة بناء الكود، وحلل الدوال من الأعلى إلى الأسفل.
6. أعد التسمية وحدد الأنواع كلما فهمت جزءاً من الكود؛ لتتحول قاعدة بيانات IDB إلى مستند توثيقي.
7. شغل Capa Explorer: لتصنيف الدوال حسب قدراتها (مثل "اتصال HTTP" أو "تشفير بيانات").
8. تصحيح الأخطاء (Debugging) اختيارياً في بيئة معزولة ومتحكم بها.

المشكلات الشائعة وحلولها (Bad output / fixes)

منظور المحلل والدفاع

يُعد IDA المعيار الذهبي لمختبرات تحليل البرمجيات الخبيثة. يُفضل استخدامه بجانب:

• صناديق الرمل (Sandboxes) مثل ANY.RUN للتحليل الديناميكي.
• أداة Capa لاكتشاف القدرات الثابتة.
• قواعد YARA لتعريف مؤشرات الاختراق (IOCs).

الأمن العملياتي (OPSEC)

• رخصة IDA Pro شخصية لكل مستخدم — هناك اعتبارات قانونية حسب نطاق العمل.
• لا ترسل عينات برمجيات خبيثة حساسة إلى "Lumina" إذا كان نطاق المهمة يمنع الرفع السحابي.

أدوات ذات صلة