售前问题

用IDA看易语言程序，难点通常不在“能不能反汇编”，而在“怎么看得懂”。这类样本进到IDA以后，经常会遇到两层阻力，一层是运行库和框架函数太多，代码入口不够直观；另一层是中文字符串没有被按合适的样式和编码识别出来，结果窗口里要么很空，要么一片乱码。Hex-Rays官方文档对字符串窗口、字符串样式和自动识别规则都给了明确入口；而在易语言分析里，社区也早就形成了一个很实用的思路，就是先补函数特征，再抓字符串交叉引用。

碰到反混淆样本，最容易犯的错不是看不懂，而是太早扎进某一段伪代码里死抠，结果函数边界、字符串、交叉引用和命名体系都还没整理，越看越散。更稳的做法，是先把IDA里最能快速出轮廓的几组视图拉起来，再决定哪些位置要手动修，哪些位置适合用脚本批量收口。Hex-Rays官方文档里把【Strings】、【Names】、【Functions】、【Cross references】这些都列成了标准子视图，同时也给了create_strlit、set_name和plan_and_wait这类脚本接口，说明这类样本本来就适合先做结构化整理，再谈深入还原。

很多人用IDA看函数，前几步都还顺，一切到图形视图就开始发乱。块太多，箭头交叉，屏幕里只能看到一角，拖来拖去还越看越迷。Hex-Rays官方其实把图形视图的整理思路拆得很清楚，基础切换靠图形视图本身，范围收缩可以用节点分组，整体定位可以用图形概览，而当你已经不适合继续盯单个函数时，还可以直接切到proximity view去看调用关系。真要把图整理顺，不是只靠缩放，而是先收范围，再定布局，再决定看函数内部还是看函数之间。

在IDA里做补丁，真正容易乱的不是改那几个字节，而是改完以后回头看不清哪里动过、动了多少、最后又该拿什么文件发给别人复现。Hex-Rays官方文档把这件事拆成了两层，一层是用【Patched bytes】窗口回看当前数据库里所有已改字节，另一层是从【File】下面生成【DIF】文件，把补丁差异导出去。也就是说，IDA自带的思路不是先做一份花哨的对比报告，而是先把改动点列出来，再把差异文件产出去。

在IDA里看异常处理，最容易走偏的地方，是把它当成普通数据段去扫。实际上，Windows下最常见、也最适合在IDA里系统追踪的，是x64这一类表驱动异常处理：异常目录先指向.pdata，.pdata里是按函数地址排序的函数表项，再由每一项跳到.xdata里的展开信息。顺序理清以后，后面看处理函数、追语言级处理逻辑，都会顺很多。

做壳、反调试和早期初始化分析时，TLS回调经常比OEP更早执行，所以一旦漏掉，后面的控制流判断就容易偏。微软的PE规范写得很明确，TLS目录里有一个【Address of Callbacks】字段，它指向一个以空指针结尾的回调函数数组，数组里的多个回调会按地址出现顺序被调用。Hex-Rays早期发布说明也提到，IDA对PE文件已经能够识别TLS callback entries并添加注释。