IDA Pro ARM反汇编怎么识别Thumb IDA Pro ARM反汇编调用约定怎么判断

做ARM固件或移动端二进制分析时，Thumb识别和调用约定判断往往是一对连环坑。Thumb没识别对，指令边界会错，函数边界就跟着错；调用约定没判断准，参数和返回值就会被你读歪，连伪代码也容易越看越别扭。下面按能直接落地的操作顺序，把两件事拆开讲清楚。

一、IDA Pro ARM反汇编怎么识别Thumb

1、先用地址最低位做第一层判断

在ARM32体系里，函数指针或跳转目标地址的最低位经常用来表示Thumb状态，地址为奇数时通常意味着以Thumb状态执行，地址为偶数时通常意味着以ARM状态执行，这个规律在你判断入口点、函数表、回调表时特别好用。

2、遇到反汇编看着不对时，直接切换T状态验证

当你看到大量不合理的指令、跳转目标对不上、或出现明显的反汇编乱码，优先怀疑是Thumb状态不对；在IDA里可以用【Alt-G】打开跳转对话框并编辑伪寄存器T，把T设为1表示Thumb，把T设为0表示ARM，然后观察同一地址的指令是否立刻变得合理。

3、检查ARM处理器选项是否影响自动切换

打开菜单【Options】进入【Processor options】，确认与ARM相关的选项里没有开启会阻止自动传播模式的设置，文档里明确提到【No automatic ARM-Thumb switch】会让IDA在跟随跳转与调用时不自动传播ARM与Thumb模式，这会导致你跨函数浏览时模式被卡死在错误状态。

4、用调用指令类型交叉验证模式切换点

在混合代码里，BX与BLX往往承担ARM与Thumb互切的角色，你可以在可疑的分支点、跳转点、间接调用点上追一次交叉引用，看是否存在从ARM到Thumb或从Thumb到ARM的切换，如果你看到切换点前后反汇编风格突变，通常说明该点的模式传播需要你手工校正。

5、对符号更完整的目标文件优先利用标记符号

如果你分析的是带符号的目标文件或某些系统库，可能会出现用符号标记代码区域的做法，比如用特定符号区分ARM代码段与Thumb代码段，你可以先在符号窗口里查这些区域标记，再回到对应地址确认IDA的模式是否与标记一致，能省掉一轮盲调。

二、IDA Pro ARM反汇编调用约定怎么判断

1、先把平台ABI口径定下来再看细节

ARM32上最常见的是AAPCS即Procedure Call Standard for the Arm Architecture，也就是大家常说的ARM EABI口径，判断调用约定时先明确你面对的是哪种ABI，后面的寄存器传参、栈对齐、返回值位置才有统一参照。

2、从调用点看参数怎么进寄存器

最直接的办法是找一处明确的call site，观察调用前对r0到r3的赋值序列，AAPCS的常见规则是前四个参数优先放进r0到r3，超过的参数再落到栈上，调用前如果你看到连续把值塞进r0到r3，基本就能先把它当作默认口径来读。

3、从函数序言与尾声看哪些寄存器必须保留

调用约定不只管传参，还管谁保存寄存器。按AAPCS的通用划分，r0到r3多数情况下属于调用者可破坏寄存器，r4到r11常见为被调用者需要保留的寄存器，函数一进来就大幅保存r4到r11往往意味着它会用到这些寄存器但必须在返回前恢复。

4、从返回值位置判断函数原型

多数标量返回值会放在r0，较宽的返回值可能会用r0与r1组合，遇到你不确定的函数，先看返回前最后几条指令把哪个寄存器作为最终结果带回去，再回到伪代码里校正返回类型，通常比一开始猜类型更稳。

5、理解IDA里__fastcall在ARM上代表什么

不少人看到伪代码里的__fastcall会以为是x86那套，其实在ARM语境里，IDA往往用__fastcall来表达寄存器传参这类默认约定，你可以把它先理解为默认的寄存器传参口径，再结合r0到r3和栈参数去修正原型。

6、用函数类型编辑把判断落回到可验证的原型

当你已经从调用点和寄存器保存规律推断出参数个数与类型时，在函数起始处按【Y】进入类型编辑，把参数依次补齐并应用，然后回到几个典型调用点看IDA是否能自动把入参映射正确，若仍对不上，再考虑该函数是否为非标准约定并改用__usercall这类方式精确指定参数位置。

三、IDA Pro ARM与Thumb混合代码怎么排查

1、先把所有间接调用当作模式风险点

函数表、回调表、虚表调用、跳转表一旦通过寄存器间接跳转，就很容易把Thumb位一起带过去，你排查时优先把这些间接跳转点列出来，对照目标地址最低位是否为1，再决定是否需要把目标函数切到Thumb。

2、对同一函数出现两种入口地址要立即合并认知

同一逻辑函数可能同时被偶地址与奇地址引用，偶地址多为对齐后的存储地址，奇地址多为带Thumb位的调用地址；遇到这种情况不要当成两个函数处理，先把它们映射为同一函数的两种进入方式，再用交叉引用确认实际执行状态。

3、自动传播不可信时就用手工校正建立基线

如果你发现跟随一次跳转后模式经常跑偏，先回到【Options】的【Processor options】检查自动切换相关选项，再在关键入口处用【Alt-G】把T设对，等入口正确后再重新浏览控制流，先把基线建稳比一路硬看更省时间。

4、用AAPCS的互通要求反推切换是否合理

AAPCS设计目标之一就是同时支持Thumb与ARM并允许互通，所以在正常工程里你会看到可解释的互通边界，比如库函数边界、编译单元边界、特定性能敏感路径；如果你看到互通频率异常、切换点落在奇怪的中间块，很可能是识别问题而不是代码本身的意图。

总结

识别Thumb的核心是先用地址最低位和T状态把指令边界校正，再检查处理器选项是否影响模式自动传播；判断调用约定则先锁定AAPCS这类平台口径，再从调用点的r0到r3传参与序言的寄存器保存规律落到可验证的函数原型。把这两条线走顺后，你会发现伪代码和交叉引用的可信度会明显上升，后续做路径分析和漏洞点定位也更省力。