使用技巧

IDA静态分析exe时先看字符串还是函数IDA静态分析exe时交叉引用通常怎么利用，不能简单地讲一定先看哪一个。exe文件被打开以后，字符串和函数都是比较重要的，但它们起到的作用并不太一样。字符串更像是可以当作线索的东西，用它来比较快地估计程序大概在做什么；函数则更像是逻辑的聚集处，那些真正的条件判断、调用、分支和数据处理，都放在函数里面。比较稳当的次序，是先利用字符串和导入函数去找到方向，然后再走进关键函数做分析，最后才通过交叉引用把调用链连接起来。

IDA分析dmp文件时模块基址为何总不准IDA分析dmp文件时基址校准一般怎么做，这是在调试崩溃转储、分析内存转储以及处理异常现场时很容易碰到的一类问题。dmp文件与普通的exe、dll文件并不相同，它所记录的是某一个时刻进程在内存中的状态。文件当中的模块，有可能已经被系统重新定位过，也有可能只保留了部分内存页。如果直接按照文件默认的基址去分析，就很容易出现函数地址、字符串引用以及调用关系全都对不上的情况。表面上看起来似乎是IDA识别出了差错，但实际上，问题往往出在加载基址没有校准好这一点上。

IDA分析so文件时先抓哪类信息IDA分析so文件时字符串结果该怎么筛，这个问题在进行Android原生库分析、漏洞排查和接口逆向的时候经常遇到。so文件打开以后，里头的函数数量很多，符号也有可能被裁剪过，直接对着反汇编代码去阅读，效率往往会很低，比较稳一些的做法是先去把握文件的一个基本轮廓，再去看它的导入导出情况、字符串内容、JNI接口以及关键的系统调用，先把大的方向确定下来，然后再去判断哪些函数值得深入查看。

IDA Pro反汇编Linux程序时，应该先看哪些位置，以及反汇编Linux文件时，ELF段信息又该怎么去利用，这两件事的关键，是不能刚打开文件就直接钻进某个sub函数里面去读。Linux程序多数是ELF格式，文件里面不仅有代码，还有入口点、动态链接的信息、字符串、导入函数、全局变量和段权限。先把这些基础信息看明白，再进入具体的函数，分析效率会高出不少，也不容易把普通库函数、初始化逻辑和真正的业务逻辑混在一起。

IDA Pro的F5伪代码里，变量名之所以非常混乱，以及在这伪代码当中，类型的信息又该用什么方法去补充，这当中的主要原因，在于反编译器所面对的，是编译之后的二进制结果，而并不是最初的源代码。程序在编译之后，很多变量名、结构体的名称、注释，还有局部的语义信息，都已经丢失了，再加上优化编译还会把寄存器反复使用、把多个变量合并到一处、把表达式拆开，所以F5生成的伪代码里面，就经常会见到v1、v2、a1、result这一类的临时命名。Hex-Rays的资料里也提到过，反编译视图当中的变量名和类型，是可以进行交互式修改的，IDA基础使用文档里也说明了，变量可以通过Rename操作去重新命名。

IDA Pro里F5没有反应，通常是什么原因，还有F5没有反应的时候，应该先检查哪些组件，先要弄清楚，F5对应的是Hex-Rays的反编译功能，并不是普通的反汇编跳转。在Hex-Rays的官方说明里面，生成伪代码可以通过View→Open subviews→Generate pseudocode，也可以直接按下F5；要是当前的环境没有办法进行反编译，F5就很有可能没有明显的反应，或者只是弹出一条很短的错误提示。