使用技巧

从Hex-Rays官方资料来看，IDA的确是可以给新手入门用的，而且官方文档本身就专门做了【Getting Started】和【Basic Usage】这类内容，明确写着“New to IDA”以及“disassemble your first binary file”。官方甚至直接提醒，加载文件时对新手来说，先接受默认loader和processor type往往是一个好策略。也就是说，IDA不是只能给老手用，但它更适合“刚开始学逆向、愿意从小样本一步步练”的新手，而不适合一上来就拿复杂系统级样本硬啃。

用IDA看恶意样本，最容易浪费时间的地方，不是窗口不会开，而是上来就追单个可疑函数，最后线索越来越碎。更稳的顺序，是先把导入、字符串、函数和交叉引用四条线跑一遍，再把能力标签和证据地址一起记下来。IDA本身就提供【Imports】【Strings】【Functions】【Names】【Cross references】【Bookmarks】和【Notepad】这些视图，适合做这类静态初筛与人工整理；而ATT&CK的作用，则是把零散行为收成统一的战术和技术标签。

很多人用IDA时，嘴上说的是“文本视图”，实际来回切换的通常是线性反汇编、伪代码和十六进制视图。真正影响效率的，不是窗口开得多不多，而是你跳到一个地址以后，另外几个窗口能不能跟着走。Hex-Rays官方文档说明，IDA View、Pseudocode和Hex View本身就支持同步高亮与联动；另外，IDA 7.3还专门改进了反汇编和伪代码的同步显示效果。

IDA里的注释一多，最怕的不是写不下，而是写得越多越乱，最后自己回头看都抓不住重点。把这件事做顺，关键不是单纯多写几条备注，而是先把注释类型分开，再决定哪些用手动补，哪些用脚本批量写，哪些要做成可重复注释，让它在交叉引用处自动帮你带路。Hex-Rays官方把注释本身分成普通注释、可重复注释、前置注释、后置注释和函数注释几类，批量写注释又提供了set_cmt和set_func_cmt这两条脚本入口，所以真正高效的做法，是按用途分层落地。

拿到ELF文件后，先别急着盯伪代码。更稳的顺序，是先把现成信息吃干净，再补缺的名字和类型。IDA自带的Names、Strings、Signatures、Type Libraries这些窗口，本来就是给这一步准备的；如果文件里还有DWARF，甚至还能直接补回函数名、原型、局部变量和全局变量类型。

在IDA里看C++程序，vtable这件事最怕的不是找不到，而是看到了却没真正认出来。很多人一开始只是顺着函数跳，看见一串函数指针就觉得像虚表，可继续往下追时，this指针不稳、虚调用显示不完整、继承关系也对不上，最后越看越乱。Hex-Rays官方文档其实把关键前提说得很明确，IDA和反编译器能利用VFT也就是虚函数表生成更清楚的虚调用表达，但前提是类类型、虚表指针名字和目标编译器设置要尽量对上。