IDA Pro 权威指南学习笔记(二) - IDA 数据库文件

生成数据库文件

把要分析的文件用 IDA 打开后,会生成 3 个数据库文件

扩展名分别为 .id0,id1,nam

.id0 文件是一个二叉树形式的数据库

.id1 文件包含描述每个程序字节的标记

.nam 文件包含与 IDA 的 Names 窗口中显示的给定程序位置有关的索引信息

点击 OK 后,将会生成一个 .til 文件

.til 文件用于存储与一个给定数据库的本地类型定义有关的信息

在关闭当前项目时,生成的数据库文件将被存档,可以将它们压缩成一个扩展名为 idb 的文件

IDA 数据库指的是 IDB 文件

一个未压缩的数据库文件的大小一般是最初输入的二进制文件的 10 倍

如果工作目录中存在这些文件,则往往表示数据库被意外关闭(例如,IDA崩溃),这时数据库可能被损坏

一旦 IDA 为某个可执行文件创建数据库,它就不再需要访问这个可执行文件

关闭 IDA 数据库

如果关闭一个数据库,无论是完全关闭 IDA,还是切换到另一个数据库,IDA 都将显示一个 Save database(保存数据库)对话框

Don’t pack database(不打包数据库),这个选项仅仅刷新对 4 个数据库组件文件所做的更改,在关闭桌面前并不创建 IDB 文件

Pack database(Store)[打包数据库(存储)],选择该选项会将 4 个数据库组件文件存到一个 IDB 文件中,然后这 4 个数据库文件会被删除,Store 选项不使用压缩

Pack database(Deflate)[打包数据库(压缩)],Deflate 选项等同于 Store 选项,其唯一的差别在于数据库组件文件被压缩到 IDB 归档文件中

Collect garbage(收集垃圾),如果勾选该选项,IDA 会在关闭数据库之前,从数据库中删除任何没有用的内存页面

在选择这个选项的同时,选择 Deflate选项可创建尽可能小的 IDB文件

通常,只有在磁盘空间不足时才选择这个选项

DON’T SAVE the datebase(不保存数据库),选择这个选项时,IDA 会删除 4 个数据库组件文件,保留现有的未经修改的 IDB 文件

使用这个选项类似于在使用 IDA 时应用了撤销或还原功能

posted @ 2018-08-12 23:19  Sch01aR#  阅读(1074)  评论(0编辑  收藏  举报