先看32位还是64位
能用32位的打开就是32位，否则会报错。API Monitor不改软件，只是看。
IDA加载
用的openssl加解密
定位：找到需要修改的地方
一般有提示句等
先看看自己写的：shift+F12 展示所有的字符串；
修改 或叫打补丁
比如在需要判断的地方JNZ改值 或NOP
应用 补丁到改后的软件
运行新软件
IDA使用技巧
shift+F12 展示所有的字符串；
ctrl+x查找某一字符串出现的所有位置；
F5反编译，查看伪代码；
*可以查看数组元素的起始位置和每个元素所占空间是多少；
y可修改数据类型；
n可修改变量名；
shift+E可导出数据（先用y修改数据类型，再根据数据类型选择合适的进行输出数据）,提取数据时还是需要再去关注一下hex界面里面的数据，防止丢失；
选中伪代码当中字符按tab键到汇编语言；
空格键实现图型和文本格式转化；
有时函数未正确识别，在函数的起始地址的汇编代码处按p；
快捷键D修改对应的数据类型；
A转化为对应字符串，尤其是没有正常解析的零散字符，可以将光标放置起始位置，然后使用快捷键A；
IDA函数窗口中，每个函数有一个关联标志，L标志表示其为库函数；
按G键可进行跳转,用于实现指令之间的跳转；
在views的open subviews中有function caLL窗口可以查看函数的调用；
当静态调试和动态调试基地址不同时，可以采取修改IDA基地址确保二者可以共同分析 Edit->Segments->Rebaseprogram；
c键可将指令转化为代码，d键可将代码转化为数据，这两个快捷键在面对对抗反汇编的方法时经常使用。
对立即数进行分析时，R:将立即数转化为字符；H: 将立即数转化为10进制；Q: 将立即数转化为16进制；B:将立即数转化为2进制。
IDA如何修改文件，IDA-》edit-》Patch program-》Assemble修改，然后 IDA-》edit-》Patch program-》Apply patches to input file即可得到修改后的pyd文件。
IDA当中出现_main endp ; sp-analysis failed如何分析。
1.用Option->General->Disassembly, 将选项Stack pointer打钩；
2.仔细观察每条call sub_xxxxxx前后的堆栈指针是否平衡；
3.有时还要看被调用的sub_xxxxxx内部的堆栈情况，主要是看入栈的参数与ret xx是否匹配；
4.注意观察jmp指令前后的堆栈是否有变化；
5.有时用Edit->Functions->Edit function...,然后点击OK刷一下函数定义。
