使用技巧

很多人刚接触二进制分析的时候，很容易被IDA Pro的界面弄得不知所措，它的窗口多、地址多，汇编语句也排得密密麻麻。IDA Pro的使用教程到底适不适合零基础呢，答案是可以用来入门，只是不要刚上来就指望能看明白太复杂的样本。官方的入门资料里，也把IDA View、Pseudocode、Hex Dump View、Local Types和Functions View这几个窗口列为了初学者平时用得比较多的。所以零基础阶段最好先学会怎样加载文件、定位函数、查看字符串和跟踪调用关系，然后再逐步去补汇编与数据结构的知识，这样进入状态会更顺畅一些。

很多人改IDA配置时，前面只是想调一个分析选项、界面行为或插件相关参数，结果一改完发现启动表现不对，甚至连原来的习惯都乱了。这个问题往往不是配置项本身有多复杂，而是没先分清IDA的配置文件到底放在安装目录还是用户目录，也没先想好改错以后该从哪一层回退。Hex-Rays官方文档已经把这条线说明白了，配置文件会按固定目录顺序查找，常见文件名也比较明确，所以只要先把目录和优先级理顺，后面的回退动作就会清楚很多。

很多人把DLL丢进IDA Pro以后，第一反应就是直接点开函数看伪代码，结果越看越散。更稳的顺序通常不是先扎进某个函数，而是先把DLL的几个基础面摸清楚：入口点在哪、导出表里暴露了什么、导入了哪些API、这些导出函数之间有没有明显的分发关系。Hex-Rays官方界面文档已经把Exports、Imports、Functions、Names、Strings这些视图单独列出来，而新版发行说明还提到，IDA会在exports和entry points列表里区分主入口点。这说明DLL分析本来就不该只盯伪代码窗口，而是要先从PE结构相关视图切进去。

在IDA里处理arm64文件，先要分清两件事。第一件事是“文件能不能正确按AArch64解码”，第二件事是“函数调用约定有没有被识别对”。Hex-Rays官方文档对第一层说得很直接，加载新文件时先接受合适的loader和processor type，通常就是最稳的起点；而在arm处理器选项里又特别提醒，想正确解码AArch64指令，代码所在segment必须被设成64-bit。第二层则更依赖类型系统和ABI规则，Hex-Rays官方说明里明确写到，反编译器会尝试推断函数类型和calling convention，但在少数情况下会失败，这时就需要手工改函数类型。Arm官方AAPCS64也给出了标准规则，也就是x0到x7用于整型和指针参数与返回值，x8用作间接返回位置寄存器，v0到v7用于浮点和SIMD参数与返回值。

很多人用IDA Pro时，最常见的界面问题就是两类，一类是反汇编窗口关掉后不知道从哪里再打开，另一类是窗口拖来拖去以后，函数窗口、伪代码窗口和反汇编窗口全挤在一起。Hex-Rays官方文档把这两件事分得很清楚，反汇编窗口属于IDA View这一类子窗口，可以从View菜单重新打开；而桌面布局属于desktop配置，要从Windows菜单去加载或保存。也就是说，窗口丢了就去开子窗口，布局乱了就去恢复desktop，这两条线不要混着处理。

很多人把APK丢进IDA Pro以后，第一反应就是直接找核心函数或敏感字符串，结果越看越乱。真正更稳的顺序，通常不是先扎进某个类里，而是先把APK的入口、代码承载方式和资源结构摸清。Hex-Rays官方文档已经说明，IDA既可以直接处理`.apk`，也可以处理其中的`.dex`；如果用`APK`loader，IDA会加载所有`classes*.dex`，而如果用`ZIP`方式，则只是从APK里提取某一个dex来看。Android官方资料则明确了APK里常见关键文件的位置，比如根目录下的`AndroidManifest.xml`、`classes.dex`和`resources.arsc`。这也意味着，先看什么、资源去哪里找，本来就是两条线。