IDA导出表怎么看 IDA导出表地址定位不准怎么办

很多人第一次在IDA里看导出表，最容易犯的不是不会打开窗口，而是把几个地址概念混到一起。看上去都是一个十六进制数，实际上你手里可能同时在对比导出表里的地址、PE工具看到的RVA、文件偏移，甚至还有运行时重定位后的实际加载地址。Hex-Rays官方文档对导出表窗口的定义很直接，Exports窗口展示的是导出符号名、该符号在当前分析程序里的地址，以及序号。也就是说，这里看到的是分析数据库里的程序地址，不是文件偏移。

一、IDA导出表怎么看

先把这个窗口读顺，比一上来就追地址更重要。导出表真正常用的，不只是看名字，还要顺着名字、地址和序号三列去判断这个导出到底落到了哪里，值不值得立刻跳进去。

1、先把【View】里的【Exports】窗口打开

IDA官方文档里把【Open exports window】列在标准子窗口里，说明这本来就是常规分析视图，不需要额外装插件。打开以后，你会看到三列基础信息，也就是导出名、导出地址和导出序号。平时看DLL或EXE的对外接口，先从这里入手最直接。

2、先按三列来读不要只盯名字

Exports窗口里最容易被忽略的是Ordinal。可现实里很多样本，尤其是系统库、老组件或壳处理过的文件，名称和序号要一起看才稳。官方说明已经把这三列定义得很清楚，所以真要核导出表，别只看名字好不好认，也要看地址和序号是不是对应得上。

3、看到地址后先跳过去看它到底是什么

很多人以为导出表里的东西一定是函数入口，这个习惯在IDA里很容易把人带偏。Hex-Rays在版本说明里专门提到，Exports窗口里的条目会按类型显示不同图标，可能是函数，也可能是数据，甚至还是未定义项。也就是说，某个导出点进去以后如果不像函数，不一定是你看错了，也可能它本来就不是普通代码入口。

4、导出跳进去以后顺手看【Address details】

如果你已经跳到某个导出地址，旁边的【Address details】窗口很有用。官方说明里写得很明确，这个视图会跟随当前地址自动更新，能看到当前地址名称、底层标志和数据解释方式。实际用起来，它特别适合拿来确认当前地址到底已经被识别成代码、数据，还是还停在比较原始的状态。

二、IDA导出表地址定位不准怎么办

导出表地址看着不准，常见原因其实就那几类。不是基址没对齐，就是你拿程序地址去比文件偏移，要不就是导出本来不是函数，还有一种是当前数据库分析还没把那个位置识别完整。把这几层分开，问题通常就没那么绕。

1、先分清你现在比的是程序地址还是文件偏移

这一步是最基础，也是最容易错的一步。Exports窗口显示的是导出符号在当前分析程序里的地址，而【Jump to file offset】这个命令则是根据你输入的文件偏移，跳到对应的程序地址。也就是说，如果你拿某个PE工具里的文件偏移，直接去和Exports窗口里的地址硬比，偏掉反而是正常的。正确做法是用【Jump】【Jump to file offset】先做一次映射，再来看它落到哪里。

2、整库都偏了一截就先查基址和重基址

如果你发现不只是一个导出点不准，而是很多导出都整体差一段，那首先该怀疑的不是导出表本身，而是整个程序的装载基准不对。Hex-Rays文档里对【Rebase program】的定义很直接，它会把整个程序按指定字节数整体平移；如果只是个别段落到了错误地址，也可以用【Move segment】处理。这里要注意，官方也提醒过，段移动到错误位置又没有可用重定位信息时，反汇编结果可能会跟着失真。

3、地址落点怪异时看看分析选项有没有把代码建起来

有时候导出地址没偏，只是IDA还没把那里认成你期待的代码形态。Hex-Rays的分析选项里提到，IDA可以根据数据到代码的引用创建函数，也会自动创建函数尾块、分析控制流和交叉引用。要是这些分析结果不完整，导出地址跳过去就可能像是落在数据上、落在半截代码上，或者只是个未定义位置。遇到这种情况，重点不是先怀疑导出表，而是先看数据库分析状态。

4、如果只是某一段看着怪不一定真是地址错了

这也是高频误判。因为导出项可能是数据，也可能是未定义项，所以你跳过去看到不是一个完整函数，并不能直接得出“导出地址不准”的结论。特别是某些导出只是变量、表项、跳板，或者本来就依赖后续人工整理，这时候与其急着改地址，不如先确认条目类型。

三、IDA导出表定位为什么总会看偏

很多人不是不会点窗口，而是每次都在同一个地方看偏。根子往往不在某个按钮，而在判断顺序反了。先拿地址去套结论，再回头补地址概念，越看越容易乱。把顺序调过来，导出表其实没那么神秘。

1、先把地址体系分开再开始对表

最稳的顺序应该是这样，先确认你手里拿到的是导出窗口地址、RVA、VA还是文件偏移，然后再决定用哪个入口去核。Hex-Rays既给了导出窗口，也给了【Jump to file offset】和【Address details】这些配套视图，本身就是在告诉你，这几类地址不能混着读。

2、不要把导出窗口当成纯函数列表

这点如果不改，后面很容易一直误判。官方已经说明过导出窗口条目会按函数、数据、未定义等类型区分，再加上PE还支持转发导出，所以它更像是一个对外导出符号列表，不是一个天然等价于函数列表的窗口。把它当函数表看，定位自然更容易“看偏”。

3、整库偏移问题优先查基址不要先手改名字

如果很多导出都整体错位，先去看【Rebase program】或段地址，比先在每个导出上做局部修补更有效。因为Hex-Rays对重基址和段移动的定义都很明确，这两个动作本来就是用来修整体装载位置的。先把地基摆正，再做函数和符号整理，后面才不容易返工。

4、看起来像地址错也可能只是数据库还没分析透

Hex-Rays的分析选项里本来就包含创建函数、创建函数尾块、分析无返回函数和全面交叉引用这些动作。导出地址如果正好落在分析还不充分的位置，你看到的就会像是半截、断块或数据，不代表导出表本身一定错了。这个时候先补分析，通常比立刻怀疑装载地址更靠谱。

总结

IDA导出表怎么看，IDA导出表地址定位不准怎么办，真正的关键不是多背几个术语，而是把判断顺序跑顺。先在【Exports】里看清名字、地址和序号，再分清自己现在比的是程序地址还是文件偏移；如果整库一起偏，就先查【Rebase program】和段地址；如果只是个别导出看着怪，再去确认它是函数、数据、未定义项，还是转发导出。把这几层拆开以后，IDA里的导出表其实并不难读，很多所谓“定位不准”，最后都不是导出表本身的问题。