IDA Pro分析二进制文件怎么操作 IDA Pro分析结果不准确怎么办

文件打开后，函数列表里全是sub_开头的名字，入口附近又堆着初始化代码，第一次分析很容易不知道从哪看起。有时找到目标了，跳转地址却不合理，伪代码里的参数也对不上。IDA Pro分析二进制文件怎么操作，IDA Pro分析结果不准确怎么办，可以从下面几个位置入手。这里使用默认快捷键，菜单名称以英文界面为准。

一、IDA Pro分析二进制文件怎么操作

1、选择文件和加载方式

EXE、ELF通常能根据文件头识别格式。裸二进制缺少这些信息，要先确认处理器、位数、字节序和加载地址。只知道文件后缀是.bin，还不足以确定加载设置。

①启动IDA，在【Quick Start】点击【New】，选择目标文件。

②在【Load a new file】核对加载器和【Processor type】；裸文件按已知信息填写加载设置。

③点击【OK】，等左下角分析状态显示AU:idle。

载入文件不会自动运行程序。若处理器或加载地址拿不准，先查固件说明、生成配置或内存映射，别反复换选项试到“看着像代码”为止。

2、用字符串找到相关代码

要查某条报错从哪里发出，可以从文字入手，比沿着入口逐个函数往下翻省事。例如界面出现“文件格式错误”，先找这句话的引用，再看什么条件会走到那里。

①按Shift+F12打开【Strings】。

②找到相关字符串，双击进入所在地址。

③选中字符串按X，在引用列表中双击代码位置。

④进入所在函数，查看字符串使用前的比较和分支。

没有引用时，字符串可能通过指针表间接使用，也可能与当前功能无关。列表里找不到文字，也不能断定文件没有它；编码、压缩和运行时生成都会影响结果。

3、查看函数和主要分支

已知函数地址或名称时，直接从函数列表进入。暂时不熟悉寄存器，可以结合伪代码看流程；F5是否可用，取决于当前架构及对应反编译器是否可用。

①按Shift+F3打开【Functions】，双击目标函数。

②在【IDA View】按空格切换图形视图；需要伪代码时按F5。

先看输入从哪里来、哪些条件会返回、最终调用了什么。sub_名称只是自动名称，不代表函数识别失败。没有调试符号的文件，出现大量这类名称很正常。

二、IDA Pro分析结果不准确怎么办

“结果不准”需要落到具体位置：整段指令都不合理，还是只有一个函数的参数奇怪？前者先查加载设置，后者更适合检查代码边界和类型。两种问题不要一起改，否则难以判断哪次修改起了作用。

1、整片代码异常，重新核对载入设置

跳转落在无效地址、连续出现难以成立的指令，可能与架构、指令模式或映射错误有关。特别是裸文件，加载地址填错后，绝对地址引用就可能对不上。

①通过【Quick Start】→【New】重新载入原文件，按确认后的架构和映射设置创建新数据库。

保留旧数据库作对照。新结果是否合理，要看入口、调用和数据引用能否相互对应。某一小段能被反汇编，不能证明整份文件的设置正确。

2、代码被识别成数据，局部重新定义

有明确跳转或调用指向某处，但那里显示的是数据定义，可以检查是否漏掉了代码。先确认目标确实是指令起点，再动手；表格、常量和压缩内容也可能被误当作代码。

①在【IDA View】定位目标地址，确认指令起点。

②选中误识别的小段区域，按U取消定义，再在起点按C创建指令。

③确认属于函数入口后，按P创建函数。

U改的是数据库中的定义，不会删除原文件字节。操作后检查后续指令和引用，避免把紧邻代码的数据也一起转成指令。

3、函数范围不对，检查边界

一个函数突然包含了相邻函数，或中途结束，先对照调用目标、跳转目标和返回位置。不能看到一个ret就认定那里是整个函数的结尾，函数可能有多个返回分支。

①进入目标函数，按Alt+P打开【Edit function】。

②核对起止地址，按已确认的边界修改，点击【OK】。

遇到分散的函数块，需要另外核对块的归属。不要为了让范围连续，把中间无关的数据和其他函数都包进去。

4、参数和访存异常，修正类型

同一参数既像整数又被反复当作地址使用，或一个函数的参数与调用处对不上，可以查看类型声明。已有头文件、接口文档或匹配的符号信息时，优先据此核对。

①在调用处查看参数来源及返回值用途。

②选中函数名或变量，按Y修改类型。

③按F5刷新【Pseudocode】，对照原指令检查。

例如按字节读取的缓冲区，不一定是字符串。改成指针后转换少了，还要确认访问宽度和偏移没有被误解。

5、自动分析没完成，先等再判断

函数数量还在变化、引用陆续出现时，当前看到的只是中间结果。是否仍在分析，可以直接看状态栏，相关提示也会出现在输出窗口。

①查看左下角AU状态和【Output】信息，等待AU:idle后重新检查目标位置。

分析结束只表示当前任务已完成，不代表所有函数都识别正确。仍有异常时，再按具体地址处理。

三、分析记录怎么保存和复查

1、给确认过的内容添加名称

“用于长度比较”和“就是输入长度”有差别。含义还没确定时，用注释记录实际用法；确认以后再命名，后续查看也容易理解依据。

①选中函数或变量，按N修改名称。

②在相关指令处按冒号键添加注释，点击【OK】。

注释可以写“与读取字节数比较”或“返回值传给文件读取接口”。比只写“关键函数”更方便继续分析。

2、保存当前数据库

重新打开原文件创建的是另一份分析。要接着已有的名称、类型和注释继续工作，应打开保存的数据库。

①按Ctrl+S保存数据库，下次从【Quick Start】打开该数据库。

总结

看别人的分析文章，函数用途往往几句话就讲清楚了，轮到自己打开文件，却可能在一段初始化代码里停留很久。这种落差并不奇怪，文章呈现的是已经整理好的结果，查错方向、认错变量的过程通常不会全部写出来。不同文件保留下来的信息也不同，有的带符号，有的连明显的提示文字都没有，花费的时间自然不一样。你现在分析的是桌面程序还是固件？最难确认的是某个函数的用途，还是加载后就出现一大片异常指令？可以在评论里说说具体情况。