IDA Pro程序反编译有哪些步骤 IDA Pro程序反编译结果如何优化

F5按下去，几百行汇编收成了几十行伪代码，看起来总算能读了。可读到a1、v3，再碰上连续的强制转换，又有点拿不准：这是程序本来就复杂，还是IDA把类型认错了？这两种情况都可能发生。反编译输出还要结合调用和访存来理解，不能只看它像不像一段C代码。

一、IDA Pro程序反编译有哪些步骤

不用先启动目标程序，也不用先配置调试器。反编译读取的是文件中的指令，前提是文件载入正确，并且当前有对应架构的Hex-Rays反编译器。

1、载入文件，等分析结束

EXE、ELF带有文件头，IDA可以据此选择加载方式。没有文件头的裸文件，需要另行确认处理器、加载地址和指令模式。文件扩展名只是名称的一部分，不能拿一个.bin后缀判断里面装的是什么。

①在【Quick Start】→【New】选择文件。

②在【Load a new file】核对加载器、【Processor type】及加载设置。

③点击【OK】，等待自动分析完成。

如果F5提示没有可用反编译器，或当前架构不支持，问题在安装、授权或支持范围。它和函数名称、参数类型没有关系。

2、从一个目标函数开始

只想查输入检查，就没必要从入口的初始化代码一路读下去。相关提示文字、已知接口和调用位置，都能帮助找到目标。函数列表中的sub_名称虽然难记，点进去以后仍可以用实际调用辨认用途。

①按Shift+F3打开【Functions】，进入目标函数。

②按F5打开【Pseudocode】。

③查看参数、主要调用和返回语句。

④按Tab切回反汇编，核对关键位置。

例如某个分支在长度超过32时返回，此时可以先确认“这里有长度判断”。32究竟是协议上限还是缓冲区容量，还得看其他位置。这个细节没弄清，并不妨碍继续理解后面的流程。

二、IDA Pro程序反编译结果如何优化

伪代码已经出来，却读得不顺，可以先看具体卡在哪里。连续的强制转换需要检查类型，参数与调用处不符要看函数原型，固定偏移太多则需要整理对象布局。名称可以最后处理，暂时保留a1、v3也不影响核对指令。

1、修正变量类型

例如a1实际指向缓冲区，IDA却把它列成整数，后面的访存就可能反复出现指针转换。这个缓冲区存的是文本、字节数组还是结构体，需要结合实际访问方式判断。只看到它被逐字节读取，还不能确定是字符串。

①在【Pseudocode】选中变量，按Y填写已确认的类型，再按F5刷新。

改完以后，地址计算的写法可能变化。原先的“地址加偏移”变成数组下标时，还要核对它实际访问的字节位置。强制转换减少了，只能说明显示形式变了。

2、核对函数参数和返回值

函数签名不对，影响会出现在调用处。比如一个返回值在后面被当作地址使用，签名却写成普通整数，就值得检查。参数数量异常时，也要看它们在哪些寄存器或栈位置准备好，不能只盯着call前面的两三条指令。

①进入调用处，核对传参位置和返回值的后续使用。

②选中被调用函数名按Y，修正参数、返回类型及调用约定。

③按F5刷新，对照另一处调用检查结果。

遇到可变参数函数，某次调用用了几个参数，不代表函数固定只有几个参数。已有头文件或可靠接口声明时，原型应以这些信息为依据。

3、补充结构体字段

同一个指针反复访问几个固定偏移，若能确认这些位置属于同一对象，可以建立结构体。字段名称能把一串地址计算变成更容易读的成员访问，但字段大小和偏移必须准确。

①按Shift+F1打开【Local Types】，右键选择【Add type】。

②按实际偏移、字段大小和对齐方式建立结构体。

③在【Pseudocode】选中对应指针，按Y设置结构体指针类型。

④按F5刷新，核对字段位置和原指令的访存位置。

比如偏移8的位置已确定是计数，后面几个字段还不清楚，就保留未知区域。字段之间的填充也要留下，否则后面的成员可能全部错位。

4、修改名称并记录依据

在几个调用处核对过用途后，函数和变量就可以按实际作用命名。计数、索引、文件句柄，名称有区别，回看时也更容易分辨。没有符号信息时，这些名称属于分析者补充的内容，并不代表原程序就这样命名。

①选中已确认用途的函数或变量，按N修改名称。

②在【IDA View】找到相关指令，按冒号键补充判断依据。

注释可以写得具体些，例如“返回值作为下一次读取的地址”“与输入长度比较”。这类记录比单写“重要变量”更方便下次接着分析。

三、改完类型以后，回头看哪里

a1从整数改成指针，当前函数里的转换少了，这还只是一个变化。类型会影响其他表达式和调用，尤其修改的是函数签名时，只盯着当前窗口容易漏掉问题。

1、再看两个调用位置

假设把一个参数认成字符串指针，一个调用处传入文字，另一个却传入二进制数据，这个类型就值得重新考虑。也可能函数本来接收的只是字节缓冲区，前一处恰好拿它处理字符串。

①选中函数名按X，查看调用位置。

②分别进入两个调用处，核对参数来源和返回值用途。

③按Tab对照反汇编，检查访问宽度、偏移及比较条件。

④发现矛盾时，按Y重新核对类型，刷新后再比较。

这里比较的是程序实际怎样使用数据。字段名称变得清楚了，强制转换变少了，都不能单独说明类型已经正确。

2、添加变量分析注释

变量用途还没有确定时，注释中可以记录它出现在哪次调用、参与了什么运算。例如某个值只用于比较，暂时无法确认含义，注释写“参与上限比较，是否为长度待确认”即可。

①在【IDA View】找到对应指令，按冒号键输入注释，点击【OK】。

②按Ctrl+S保存数据库。

总结

同一个功能，换个编译器版本，生成的代码就可能换一副样子。源码里几行普通的判断，到了伪代码中却绕得难读，难免会让人怀疑自己是不是看漏了什么。反编译有时候就是这样，昨天刚认熟的一种写法，今天换份样本又不眼熟了。看到别人把一个函数讲得很明白，那也是已经理顺以后的结果，中间的猜错和返工没有都写出来。你分析时遇到过哪种特别别扭的输出？评论里说说，后来是发现类型不对，还是编译优化改变了它的样子？