IDA Pro反汇编linux程序怎么分析 IDA Pro反汇编linux文件段信息怎么看

很多人把Linux程序拖进IDA Pro以后，第一步就去找伪代码，但真正影响分析效率的，往往是前面的加载、自动分析和视图切换有没有走顺。Hex-Rays官方文档说明，IDA在文件载入后会先进行自动分析，完成后默认进入IDA View，而且这里本身就支持图形视图、线性视图和邻近视图几种常用分析方式。

一、IDA Pro反汇编linux程序怎么分析

IDA Pro反汇编linux程序怎么分析，重点不是一上来就盯某个函数名，而是先把文件装载、自动分析和代码浏览顺序理清。Hex-Rays官方基础文档说明，IDA原生支持多种文件格式和处理器，自动分析结束后会在IDA View里先显示函数流程图，这也是很多Linux ELF程序进入分析时的常见起点。

1、先确认文件是不是按ELF正常装入

Linux程序常见格式是ELF，装入后先看loader和处理器架构有没有明显偏差。只要架构对上，后面的函数识别、交叉引用和反汇编结果才更容易稳定。

2、等自动分析先跑完

官方文档明确写到，IDA在载入文件后会开始autoanalysis，完成后再进入默认桌面布局。实际使用里，不建议刚载入就频繁打断，因为函数流图、函数列表和后续浏览效果都依赖这一步。

3、先在IDA View里看控制流

IDA View默认会先给出graph view，也就是函数流程图。官方说明里还提到，IDA View还有linear view和proximity view，分别适合顺地址读代码，以及看函数、全局变量和其他对象之间的关系。

4、需要来回切换时直接用快捷方式

Hex-Rays官方文档说明，按空格可以在graph view和linear view之间切换。对Linux程序来说，先用图形视图看主干分支，再切到线性视图对细节，会比一直停在单一视图里更顺。

二、IDA Pro反汇编linux文件段信息怎么看

IDA Pro反汇编linux文件段信息怎么看，真正省时间的办法不是在反汇编页里盯着`.text`、`.data`这些前缀慢慢找，而是直接打开专门的段窗口。Hex-Rays官方文档对Segments window的说明很直接，这个窗口就是用来列出代码和数据所在内存段信息的。

1、先打开Segments window

官方菜单说明里有OpenSegments，对应的就是打开Segments window。这个入口适合先看全局段布局，而不是只看当前光标附近那一小段代码。

2、先看段名和地址范围

官方说明里写到，Segments window会列出每个段的Name、Start和End。这里特别要注意，End地址本身不属于该段，所以看范围时不要把End当成段内最后一个有效地址。

3、再看读写执行属性

Segments window里还有R、W、X三列，分别表示可读、可写和可执行状态。分析Linux文件时，这几列很实用，因为你能很快把代码段、只读数据段和可写数据段分开。

4、最后看Type、Class和地址宽度

官方文档说明，这个窗口还会显示Type、Class和AD。Class会把段区分成CODE、DATA、CONST、BSS、STACK、XTRN这几类，AD则表示段的寻址宽度，所以判断某段到底是代码、初始化数据还是未初始化数据时，这几列很有参考价值。

三、IDA Pro分析视图怎么配合

IDA Pro分析视图怎么配合，关键不在于窗口开得越多越好，而在于每个窗口负责什么。Hex-Rays官方基础文档把IDA View、Hex View、Functions View等常用子视图单独列出来，本身就在提示用户，这些视图适合分工配合，而不是混着看。

1、用IDA View看逻辑主线

函数已经识别出来以后，先在graph view看分支和流程，再回linear view核对具体指令，这样读控制流通常更顺。

2、用Hex View看原始字节

官方说明，Hex View可以显示程序指令的原始字节，而且能够和IDA View同步高亮。遇到你怀疑某段解释不准的时候，这个窗口很适合拿来做对照。

3、用Functions View看函数整体分布

Hex-Rays官方文档说明，Functions window会列出已识别函数的名称、所在段、起始地址、长度以及局部变量和参数占用情况。分析Linux程序时，这个窗口很适合先看全局函数分布，再决定从哪一块切入。

4、用Segments window看全局布局

当你想判断当前函数到底落在哪个段，或者想确认整个ELF的代码段和数据段边界时，还是应回到Segments window。这样看的是整份文件的布局，不会只停留在局部片段上。

总结

IDA Pro反汇编linux程序，顺序上更适合先确认ELF装载正常，再等自动分析完成，随后用IDA View的图形视图和线性视图去读函数逻辑。IDA Pro反汇编linux文件段信息，则更适合直接在Segments window里看段名、地址范围、读写执行属性和段类别。把反汇编视图、段视图和十六进制视图分开配合以后，Linux程序在IDA里的分析会清楚很多。