使用技巧

做51固件反汇编时，加载阶段的选择会直接决定后面看到的是可读的指令流，还是一片看似随机的字节。因为51也叫MCS-51，程序存储器与数据存储器是分离的地址空间，IDA里如果只把文件当成单一内存段塞进去，后续的SFR映射、向量表识别、以及代码数据区分都会被带偏。

用IDA Pro做反汇编，第一步不是急着看函数，而是把装载方式、CPU架构、基址和分析选项对齐，让自动分析先把骨架搭出来。后面你觉得指令流乱、跳转看不懂，大多是代码与数据没分清、函数边界没修正、类型信息缺失这三类问题叠加造成的。

so属于共享库，很多时候并不存在像可执行文件那样的main入口，所谓入口更像是三类起点：导出接口被谁调用、加载阶段有哪些初始化函数、以及关键字符串或关键API把你引到哪条调用链。另一边函数名全是sub，通常意味着符号被剥离或识别率不够，你需要把符号来源、签名识别、手工命名这三条线同时跑起来，才能把阅读成本降下来。

在Linux样本里用IDA Pro做反汇编，ELF文件通常能直接打开，但只要加载基址、段创建或调试信息导入有一项没对齐，就会出现反汇编跳转异常、函数边界混乱、地址落在未定义区域等现象。要把问题一次解决，建议把动作拆成两条线并行推进：先把ELF加载入口走对，再把段体系补齐到能承载代码与数据的状态。

这两类问题经常一起出现：分析结果看起来不对，多半是加载参数、基址与段映射不对，或者缺少库识别与符号信息；符号解析失败则会让函数名、类型、交叉引用都变得“像能用但不好用”。处理时别急着重装或反复重开库，按可复现的顺序把输入条件校正，再让IDA重新分析，效果通常会立刻变稳定。

做逆向时你看到的字符串不是直接从二进制里读出来就完事，IDA Pro会用一套编码与字符串类型规则把字节解码成可显示文本。只要默认编码选错，或把UTF-16当成8位字符串去解，就会出现乱码、问号、断字，甚至字符串列表里一堆看似可读但实际无意义的内容。要把IDA Pro字符串编码显示乱码怎么办，IDA Pro字符串编码识别错误怎么修正这件事处理干净，思路是先修正单条字符串的类型与编码，再把默认规则改到更贴近样本，最后控制自动识别的范围与口径。