使用技巧

很多人用IDA时，嘴上说的是“文本视图”，实际来回切换的通常是线性反汇编、伪代码和十六进制视图。真正影响效率的，不是窗口开得多不多，而是你跳到一个地址以后，另外几个窗口能不能跟着走。Hex-Rays官方文档说明，IDA View、Pseudocode和Hex View本身就支持同步高亮与联动；另外，IDA 7.3还专门改进了反汇编和伪代码的同步显示效果。

IDA里的注释一多，最怕的不是写不下，而是写得越多越乱，最后自己回头看都抓不住重点。把这件事做顺，关键不是单纯多写几条备注，而是先把注释类型分开，再决定哪些用手动补，哪些用脚本批量写，哪些要做成可重复注释，让它在交叉引用处自动帮你带路。Hex-Rays官方把注释本身分成普通注释、可重复注释、前置注释、后置注释和函数注释几类，批量写注释又提供了set_cmt和set_func_cmt这两条脚本入口，所以真正高效的做法，是按用途分层落地。

拿到ELF文件后，先别急着盯伪代码。更稳的顺序，是先把现成信息吃干净，再补缺的名字和类型。IDA自带的Names、Strings、Signatures、Type Libraries这些窗口，本来就是给这一步准备的；如果文件里还有DWARF，甚至还能直接补回函数名、原型、局部变量和全局变量类型。

在IDA里看C++程序，vtable这件事最怕的不是找不到，而是看到了却没真正认出来。很多人一开始只是顺着函数跳，看见一串函数指针就觉得像虚表，可继续往下追时，this指针不稳、虚调用显示不完整、继承关系也对不上，最后越看越乱。Hex-Rays官方文档其实把关键前提说得很明确，IDA和反编译器能利用VFT也就是虚函数表生成更清楚的虚调用表达，但前提是类类型、虚表指针名字和目标编译器设置要尽量对上。

做逆向时，重定位信息往往不只是一个附属表，它会直接影响你对装载方式、模块边界和地址修正逻辑的判断。很多人进到IDA以后先找一个名叫重定位表的独立窗口，结果越找越乱。更实用的做法，是先分清文件格式，再在IDA里结合【Segments】、【Imports】、【Exports】和【Hex dump】去看对应区域，因为Hex-Rays官方文档明确给出了这些子视图和重定位修正相关的【Rebase program】入口，而PE和ELF的官方格式文档又分别定义了重定位区到底放在哪里、记录长什么样。

很多人拿到样本以后，第一步就是按【Shift+F12】去看字符串，这个习惯没问题，问题往往出在下一步。样本一大，字符串窗口里一下刷出几百上千条，里头有路径、报错、接口名、域名，也夹着一堆零散字符和无关文本。这个时候如果只靠眼睛往下翻，效率通常会很差。IDA官方文档和Hex-Rays的说明其实已经把思路讲得很清楚，字符串窗口不是只能拿来“看结果”，它前面可以先收扫描条件，打开以后还可以再做列表过滤，所以结果太多时，关键不是翻得更快，而是先把范围缩对。