IDA Pro f5伪代码为什么变量名很乱 IDA Pro f5伪代码里类型信息该怎么补

IDA Pro的F5伪代码里，变量名之所以非常混乱，以及在这伪代码当中，类型的信息又该用什么方法去补充，这当中的主要原因，在于反编译器所面对的，是编译之后的二进制结果，而并不是最初的源代码。程序在编译之后，很多变量名、结构体的名称、注释，还有局部的语义信息，都已经丢失了，再加上优化编译还会把寄存器反复使用、把多个变量合并到一处、把表达式拆开，所以F5生成的伪代码里面，就经常会见到v1、v2、a1、result这一类的临时命名。Hex-Rays的资料里也提到过，反编译视图当中的变量名和类型，是可以进行交互式修改的，IDA基础使用文档里也说明了，变量可以通过Rename操作去重新命名。

一、IDA Pro f5伪代码为什么变量名很乱

在阅读F5伪代码的时候，先不要把它直接当成源代码来看。它更像是反编译器根据汇编层面的控制流、调用关系，还有数据流，所“推导”出来的一种C风格的表达，它能够帮助分析人员去理解程序的逻辑，但是并不保证能够还原出原作者的那一套命名习惯。

1、源代码里的命名信息已经丢失了

大部分release版本的二进制文件，并不会把局部的变量名保留下来。IDA只能依据寄存器、栈上的变量、参数的位置，还有数据流，去生成一批默认的名字，所以才会出现v3、v7、a2这一类的名字。这个现象，并不是工具本身出了故障，而是编译所得到的产物，本身就没有携带足够的语义信息。

2、编译优化改变了变量的形态

经过优化的编译，会让同一个寄存器在不同的位置上，承载不同的含义，也可能把好几个局部变量，塞进同一个栈空间里面。这样一来，在F5的伪代码里面，就会出现同一个变量，它前后的含义并不一致，或者某个变量在类型上看起来非常奇怪的情况。碰到这一类的问题，就需要回到汇编视图、基本块，还有调用的上下文里面，结合起来一起分析。

3、缺少必要的类型信息

类型信息的缺失，会直接拉低伪代码的质量。比如说，同样一个地址，它到底是被当成整数、字符指针，还是结构体指针，F5所显示出来的逻辑，就会完全不一样。在Hex-Rays的官方技巧里面也提到过，可以把光标放到变量上面按Y，或者使用Set lvar type去修改局部变量的类型；也可以直接去编辑函数的原型。

二、IDA Pro f5伪代码里类型信息该怎么补

在补充类型信息的时候，不太建议一上来就给所有的变量去改名字。更加稳当的做法，是先补全函数的原型，然后再去补充结构体和那些关键的指针，到了最后，再去整理局部的变量名。类型补准了之后，很多伪代码它是会自动变得清晰起来的。

1、先把函数的原型改准确

把那些已知的API、导出函数、回调函数，它们的参数和返回值，先改准确。函数的原型一旦正确了，调用点上的参数含义、返回值的判断，还有指针的传递，这些都会变得更加容易阅读。特别是JNI、Windows API、库函数、驱动接口这一类的函数，如果原型出了错，跟在它后面的那一长串伪代码，都会变得不顺。

2、补充局部的变量类型

在【Pseudocode View】当中，选中变量以后，使用Set type或者快捷键Y，去补充它的类型。

这里比较适合去处理那些明显被识别错了的变量，比如把一个整数的地址，改成结构体指针；把void指针，改成具体的对象指针；把一个无符号数，改成状态的枚举。Hex-Rays关于伪代码类型编辑的说明里面也提到过，结构体的字段和栈上的变量，是可以在伪代码里面直接重命名，或者重新指定类型的。

3、建立起结构体和枚举

如果函数里面有大量访问同一块内存的操作，那一般就要去考虑，它是不是一个结构体。可以根据偏移量、访问的宽度、调用的参数，还有字段的用途，一步一步地去把结构体的字段补全。IDA的文档里也说明了，Local Types是用在当前项目里面的、自定义的或者导入进来的类型，而Type Libraries提供的则是常见平台和架构的预定义类型；类型在被引用以后，就会进到本地的类型列表里面去。

三、伪代码整理时怎么避免越改越乱

F5伪代码的整理，并不是一次性的美化工作，而是边理解边修正的过程。改错了类型，比不去改还要麻烦，所以每一次，最好是只去改动那些能够确定的部分，碰到暂时没有办法确定的地方，就先保留默认的名字。

1、命名要跟着用途走

变量的名字，不要只是为了看起来好看，就随便去改。比如说，一个变量只是用来做循环计数的，那就叫i或者idx；如果是用来返回状态的，那就叫ret或者status；如果它是指向对象的指针，再根据上下文去给它命名。Hex-Rays还提供了Quick Rename，可以在特定的场景下面，把命名顺着赋值的关系传播出去，但是仍然需要人工去判断，语义上是不是准确的。

2、先把关键的路径处理出来

不要每一个v变量都去改。应当优先去改动函数的参数、返回值、关键的状态变量、结构体指针、缓冲区的指针，还有分支判断的变量。等到关键的路径被理清楚以后，剩下的那些临时变量，哪怕名字普通一些，也不一定会影响到分析。

3、保留验证的意识

每一次补完类型之后，都要回头去看一下伪代码，是不是变得更加合理了，比如指针的访问，是不是变成了字段的访问，数组的下标是不是正常了，强制的类型转换，是不是有所减少。如果改完以后，里面的表达式反而变得更加奇怪了，那就要撤回，或者重新判断，不能为了让伪代码看起来“更像源代码”，就硬往上套类型。

总结

IDA Pro的F5伪代码，为什么变量名会非常混乱，以及在F5伪代码里面，类型信息又该怎样去补充，这当中的关键，就在于二进制文件里面，原始的变量名和大量的类型语义，都已经被丢掉了，反编译器只能根据数据流和调用关系去进行推断。在处理的时候，可以按照“先看函数的原型、再补关键变量的类型、接着建立结构体和枚举、最后再去调整命名”这样的顺序来做。F5伪代码的目标，并不是去还原出最初的源代码，而是要让分析人员能够更加稳定地去理解程序的逻辑，所以改名和补类型，都要围绕着证据来进行，不能只去追求表面上的整齐。