IDA软件是做什么用的 IDA软件更适合处理哪些二进制文件

只有安装包、固件或者可执行文件，手里却没有任何源代码的时候，想要把程序内部的逻辑排查清楚，往往会变得特别费劲；而很多人会问IDA软件到底是做什么用的，以及IDA更适合去处理哪一类二进制文件，通常都得从二进制分析的场景里慢慢理解。简单来说，IDA能够把机器指令翻译成汇编代码，再配合函数识别、交叉引用、字符串、导入函数和控制流图这些信息，帮使用者把原本很难读的程序一点点拆开来看；其中IDA Pro这一款还提供了反编译和动态调试的本事，比较适合用来做软件分析、兼容性问题排查、固件研究还有程序故障的定位。

一、IDA软件是做什么用的

IDA不是那种普通的代码编辑器，更不是拿来直接编译程序的工具；它要面对的东西，是那些早就已经生成好的可执行文件或者固件，必须靠着静态分析和动态调试这两条腿走路，才能把程序原先的结构还原出来。

1、查看反汇编结果

把一个文件加载到IDA里面以后，软件会自动去分析它的入口点、函数、代码段、数据段还有调用关系；使用者可以在屏幕上查看一条条的汇编指令，也能顺着交叉引用找到某个函数在哪些地方被调用过。根据官方的入门文档，IDA在加载文件之后，就会执行一轮自动分析，然后把得到的结果存进一个数据库类型的文件里面去，方便以后随时再打开查看。

2、查看伪代码

当安装了对应处理器架构的反编译器组件之后，IDA可以把一部分汇编结果转换成更加接近C语言样子的伪代码，这份伪代码当然已经不是当初的原始源码了，变量名、注释和不少类型信息多半都已经丢掉了；不过，在读那些逻辑很绕的复杂函数时，对照伪代码来理解，还是会比一行行地啃汇编要省不少力气。至于反编译器到底能不能用，还得看手头买的是哪一款产品，以及订阅的配置有没有带上这个模块。

3、整理程序结构

在分析的过程中，可以给那些没有名字的函数起个易懂的名称，补上一些注释，把数据的类型重新调整成更合适的形式，再建立起结构体，然后通过Functions视图、Hex View窗口和Pseudocode窗口这些地方互相参照着检查；IDA会把这些修改统统保存在它自己的i64数据库里面，并不会直接去改动那个原始的二进制文件，这一点比较安全。

4、配合调试验证判断

如果光靠静态分析，有些运行路径老是看不清楚，还可以切到调试器那边去，打上断点，再真刀真枪地把程序跑起来；这样一来，就能观察到某个函数到底有没有真的被执行，参数又是怎样变化的，异常到底出现在了哪个步骤上，这一套组合拳打下来，判断就不容易出大的差错。

二、IDA软件更适合处理哪些二进制文件

IDA更擅长处理的是那些已经编译完成、但还需要进一步阅读内部逻辑的文件，官方给出的支持列表里，覆盖了常见桌面端、移动端、嵌入式还有固件的很多文件格式，所以它适用的范围其实比一般人想象的要宽。

1、Windows可执行文件

Windows环境底下常见的exe、dll和一部分驱动文件，大多都属于PE格式；IDA能够把这些文件里的代码段、导入表、导出函数和入口位置都给识别出来，很适合用来排查老程序的逻辑、接口调用情况和崩溃原因。在官方支持清单里，也明确写着x86、x64和ARM等架构的PE文件都可以处理。

2、Linux和移动端文件

Linux的可执行程序还有共享库，通常用的是ELF格式，macOS和iOS的程序则常见Mach-O格式，另外一部分Android程序还会涉及到DEX文件；对于这些格式，IDA都提供了相应的加载支持，在用惯了以后，就可以跨着平台去阅读不同的二进制内容，不用每一种格式单独去学一个工具。

3、嵌入式固件文件

芯片固件常见的bin、Intel HEX和S-record格式，同样也能塞到IDA里面进行分析；不过原始bin文件一般缺少明确的段信息，所以加载的时候必须结合芯片的架构、基地址、内存映射和入口位置来一起判断，光靠默认选项是很容易出错的。好在IDA对于ARM、MIPS、PowerPC、TriCore等好多种处理器都支持，嵌入式领域用到的架构也覆盖了一大片。

4、目标文件和库文件

除了上面那些，COFF、OMF、静态库、JAR归档这类文件，也能当成分析对象来对待；碰到那种规模特别大的程序，不妨先从一个单独的模块或者库文件入手，把里面的关键函数先看清楚，再切换回完整的程序里去核对调用关系，分析效率反而会更高。

三、IDA软件分析文件前要确认哪些条件

文件能顺顺利利地导进来，并不等于立刻就能拿出一份可靠的结论；在正式开始分析之前，最好还是先把文件的格式、处理器的架构，还有文件本身完不完整这几件事情，一一确认清楚。

1、确认处理器架构

同一个bin文件，如果按照ARM架构去加载是一个样子，换成MIPS或者PowerPC去加载，反汇编出来的结果就会完全不一样；所以碰上固件文件的时候，得先去查一查芯片的型号、位宽还有它是大端还是小端，不能随手就点了那个默认的选项，这一步偷懒后面的路就会走叉。

2、确认加载地址

原始的固件不像PE或者ELF那样有特别完整的段信息，一旦把加载的基地址给写错了，跳转地址、数据引用和函数的识别结果，就全都会跟着跑偏；为了把地址定准，可以去找一找链接文件，翻一翻芯片的手册，或者看看启动向量表里的内容，综合这些材料来判断。

3、判断文件是否经过压缩或保护

有相当一部分程序，在发布的时候会被压缩、加壳，甚至做了加密处理，如果直接把它加载进去，很可能就只能看见一小段启动代码，别的东西都还藏得严严实实；遇到这种情况，应该先把文件的状态摸清楚，再判断是不是还要补上一些运行时分析的手段，不能硬着头皮只靠静态去看。

4、保存分析数据库

头一回加载完成之后，一定记得把i64这种格式的数据库给保存下来；后面做的那些改名、加注释、调整类型还有整理结构体的工作，全部都会存到这个数据库里面，下次再打开的时候就可以接着往下分析，不用再辛辛苦苦地重新从头开始走一遍流程。

总结

IDA软件到底能做什么，它更适合去分析哪一些二进制文件，用一句话来概括就是：它的主要用处，就是阅读和研究那些早就编译好了的程序。Windows下面的PE文件、Linux下面的ELF文件、macOS和iOS下面的Mach-O文件、Android的DEX文件，再加上嵌入式固件里经常碰见的bin、Intel HEX和S-record文件，这些统统都可以拿过来作为分析的对象；只要在正式开始之前，把文件格式、处理器架构还有加载地址这些前提条件给确定准确了，后面再去做函数识别和逻辑判断的时候，才够稳当，也才不容易被带进死胡同里。