使用技巧

做逆向时，重定位信息往往不只是一个附属表，它会直接影响你对装载方式、模块边界和地址修正逻辑的判断。很多人进到IDA以后先找一个名叫重定位表的独立窗口，结果越找越乱。更实用的做法，是先分清文件格式，再在IDA里结合【Segments】、【Imports】、【Exports】和【Hex dump】去看对应区域，因为Hex-Rays官方文档明确给出了这些子视图和重定位修正相关的【Rebase program】入口，而PE和ELF的官方格式文档又分别定义了重定位区到底放在哪里、记录长什么样。

很多人拿到样本以后，第一步就是按【Shift+F12】去看字符串，这个习惯没问题，问题往往出在下一步。样本一大，字符串窗口里一下刷出几百上千条，里头有路径、报错、接口名、域名，也夹着一堆零散字符和无关文本。这个时候如果只靠眼睛往下翻，效率通常会很差。IDA官方文档和Hex-Rays的说明其实已经把思路讲得很清楚，字符串窗口不是只能拿来“看结果”，它前面可以先收扫描条件，打开以后还可以再做列表过滤，所以结果太多时，关键不是翻得更快，而是先把范围缩对。

在IDA里，结构体用顺了，反汇编和伪代码会一下子清爽很多；用不顺，最常见的就是偏移全是数字，字段名出不来，或者明明已经建了结构体，成员大小还是一团乱。Hex-Rays官方文档把这两件事分得很清楚，一类是把结构体真正套到数据和操作数上，另一类是回到类型定义里把成员宽度和布局修正好。

用Hex-Rays看伪代码时，很多人不是不会点功能，而是顺序没走对。改了类型以后没刷新，看到的还是旧结果；先急着改变量名，结果类型还没理顺，越改越乱。官方文档其实把这套流程写得很明白，伪代码窗口支持手动重编译，局部变量也可以直接重命名、改类型、做变量映射，只是这些动作要按顺序配合着用，效果才会稳定。

在IDA里做程序反编译，真正的顺序不是打开文件后立刻盯着伪代码看，而是先让反汇编、函数边界、类型信息和交叉引用尽量稳定，再用反编译器生成可读的C样式结果。Hex-Rays官方文档明确说明，伪代码窗口可以用【F5】或【View】里的Pseudocode入口生成，而生成出来的结果是否好读，很大程度取决于你前面有没有把函数、类型和命名整理好。

在IDA里看C反编译结果时，结构体相关内容之所以会显得乱，很多时候不是反编译器完全看不出来，而是当前变量还停留在无类型指针、整数偏移或不完整联合体的状态。Hex-Rays官方文档明确提到，Set type可以显著改变输出结果并减少多余强转；反过来，如果对象还是void指针或类型信息不足，反编译结果的可读性就会明显下降。