IDA Pro使用有哪些基础方法 IDA Pro使用过程中常见问题怎么处理

刚打开IDA Pro，满屏地址和指令很容易让人不知从哪儿看起。第一次分析程序，不用从第一行汇编读到最后一行。先找能认出来的字符串和函数，再顺着引用往回看，程序做了什么会慢慢有轮廓。碰到“软件坏了”似的状况，也得看看问题具体发生在哪一环。

一、IDA Pro使用有哪些基础方法

1、把文件交给IDA分析

可以先拿一份体积不大的测试程序练手。导入时，IDA会识别文件格式和处理器，并在后台整理函数、跳转和引用。刚打开就发现函数列表很短，给自动分析一点时间。

①启动IDA Pro，在【Quick Start】点击【New】，选中目标文件。

②在【Load a new file】检查加载方式和处理器，点击【OK】。

③查看窗口底部状态栏；显示AU:idle后，再判断分析结果是否完整。

普通程序通常能识别格式；原始固件的架构和加载地址，需要依据文件资料确认。

2、在函数与伪代码之间切换

【Functions】像一张目录。找到感兴趣的函数后，图形视图适合看分支走向，线性视图适合看连续的地址与数据。有相应的反编译器授权时，伪代码能帮忙读懂较长的逻辑。

①按Shift+F3打开【Functions】，双击一个函数名。

②在【IDA View】按空格键，切换图形视图与线性视图。

③把光标移到函数内，按F5查看【Pseudocode】。

伪代码是根据机器码推出来的结果。看到v3、a2之类的名字很正常，类型和变量含义还要结合上下文判断，不必急着把每一行都看懂。

3、从字符串追到使用位置

比起随机点开函数，找一条熟悉的报错信息往往更快。比如程序弹出“文件格式错误”，就可以先找这段文字，再看哪些代码引用了它。

①按Shift+F12打开【Strings】，找到并双击目标文字。

②在该字符串上按X，查看引用它的位置。

③双击一条引用跳转过去；看完按Esc返回。

同一个字符串可能被多个函数引用，可以逐个看，不要只凭第一处就认定它是最终的报错入口。函数名也能用X查看谁调用了它。

4、留下自己能看懂的标记

分析到一半离开电脑，第二天再看sub_开头的一串名称，很容易忘记昨天查到了哪里。弄清一个函数的大致用途就给它改名；还不确定的判断，写在注释里更合适。

①将光标放在函数或变量名称上，按N输入新名称。

②选中需要说明的位置，按:写入注释。

③按Ctrl+S保存.i64数据库。

改名和注释会保存在数据库中，不会因此改动原始程序。名称可以随着理解加深再调整，不用第一遍就取得十分准确。

二、IDA Pro使用过程中常见问题怎么处理

遇到问题，先看它影响的是整个文件，还是只有一个函数或一项功能。【Output】里的具体提示，也比“打不开”三个字有用。

1、反汇编满是数据，指令看着不对

打开原始二进制文件时尤其容易遇到这种情况。处理器架构、位数或加载地址选错，IDA后面的识别都会跟着偏，图形视图和伪代码也可能一起变得奇怪。

①核对文件实际使用的处理器、位数和加载地址。

②对照导入时的选择，找出不一致的地方。

③保留现有.i64，用正确参数重新导入原文件比较。

如果已经做了不少标记，别直接在原数据库里反复改处理器类型；重新分析可能改变已有结果。

2、找不到函数，按空格也没有图

图形视图只能显示已经识别成函数的代码。分析尚未结束、当前位置是数据，或者函数入口没被识别，都可能出现“没有图”的情况。

①看状态栏是否已经显示AU:idle。

②按Shift+F3打开【Functions】，检查目标是否在列表中。

③确认某地址确实是函数入口后，将光标移到该地址，按P创建函数。

若整份文件只识别出极少量代码，先查导入参数。只在有依据的位置手动建函数，避免把数据也变成指令。

3、按F5后没有伪代码

先分清“所有函数都不行”和“只有这个函数不行”。前者常与反编译器许可或目标架构有关；后者可能是函数边界、调用原型或栈信息让反编译器无法继续。

①在【Functions】里换一个已识别函数，按F5对比。

②若提示无可用反编译器，检查当前许可支持的架构。

③若只在个别函数报错，记下原文，检查函数边界及被调用函数的类型。

出现call analysis failed时，先查被调用函数的参数和调用约定；出现内部错误，则保存数据库、重启IDA后再试一次。

4、字符串列表空白，明明文件里有文字

【Strings】展示的是识别出来的字符串，还会受到选区与筛选设置影响。有时此前选中了一小段地址范围，打开列表后就只看到那一段的结果。

①取消地址选区，重新打开【Strings】。

②在列表内右键点击【Setup】，检查最短长度和允许的字符串类型。

③调整后右键点击【Rebuild】，刷新列表。

文字也可能经过编码、压缩，或到运行时才生成。列表空白只能说明当前没识别出来，不能直接证明文件里没有文字。

三、分析中容易忽略的两件事

IDA的分析记录和原始文件是两样东西。用到第三方插件时，也先确认基础分析是否正常，免得把不同环节的故障混在一起。

1、重新打开后，改过的名称全没了

这经常是因为重新导入了原始程序，而不是打开昨天保存的数据库。.i64才装着注释、重命名和已整理的分析结果。

①找到之前保存的.i64文件。

②在【Quick Start】打开已有数据库，查看标记是否还在。

③找不到文件时，检查当时的保存目录及写入权限。

每个程序单独保存数据库，回头更容易找到旧进度。

2、脚本或插件报错，基础分析却正常

能打开文件、查看函数，却在运行某个插件时出错，问题范围已经缩小了。先读【Output】中的报错，再看插件支持的IDA和Python版本。

①记录插件名称、IDA版本和【Output】里的完整报错。

②暂时停用最近加入的插件，重启IDA验证基础功能。

③基础功能正常时，检查该插件的版本和依赖要求。

总结

第一次接触IDA Pro，多半会有点挫败：函数成百上千，打开伪代码，变量又是一排v1、v2。这很正常。分析一个程序，可以从一个具体问题开始，慢慢弄清其中的关系。软件给出的函数边界、类型和伪代码都是推断，值得参考，也需要结合程序的实际行为判断。等熟悉了这些信息之间的联系，原本杂乱的界面会逐渐变得可读。你刚开始用IDA Pro时，最常卡在哪里？是汇编界面看不下去，还是伪代码看着像C，却说不清程序为什么走了那条分支？欢迎在评论区聊聊你的经历。