IDA Pro arm反汇编如何分析程序 IDA Pro arm反汇编文件加载异常怎么办

ARM程序在手机应用、嵌入式设备和固件中都很常见。文件导入IDA Pro后，有时能看到指令，却找不到清楚的函数关系；有时满屏都是数据，连入口也没有识别出来。这些情况与文件格式、指令模式和地址设置都有关系。下面介绍“IDA Pro arm反汇编如何分析程序IDA Pro arm反汇编文件加载异常怎么办”，从文件加载到代码阅读，说明常用操作及检查方法。菜单名称采用IDA的英文界面。

一、IDA Pro arm反汇编如何分析程序

分析ARM程序时，先确认目标架构，再选择入口。带文件头的程序通常可以自动识别，无文件头的裸固件则需要补充加载信息。

1、导入文件并确认架构

AArch32包含ARM、Thumb指令模式，AArch64使用A64指令。不能仅凭文件名中的“arm”判断位数，也不能把Thumb一概当作只有16位指令。

①启动IDA Pro，在【Quick start】中点击【New】，选择目标文件。

②在【Load a new file】中核对文件格式及【Processor type】；裸BIN文件选择【Binary file】，处理器选择ARM。

③点击【OK】；裸固件按设备资料填写后续内存布局及位数设置。

④等左下角AU显示idle后，开始查看分析结果。

2、通过函数和字符串寻找分析位置

有符号的文件可以按函数名查找；没有符号时，报错文本、配置名称等字符串常能提供线索。入口附近可能主要是初始化代码，不一定包含要找的业务功能。

①按Shift+F3打开【Functions】，双击目标函数。

②按Shift+F12打开【Strings】，找到相关文本并双击。

③将光标放在字符串标签上，按X查看引用，双击引用项进入代码。

④在已识别的函数内按Space切换图形视图，沿分支查看调用位置。

3、顺着调用位置查看参数

只看被调用函数，容易漏掉参数从哪里来。按常见AAPCS约定，32位ARM的整数、指针参数通常先使用R0～R3，AArch64通常先使用X0～X7；浮点数、结构体等还要结合具体调用约定。

①找到调用指令，向上查看参数寄存器的赋值，记录传入的地址、长度和标志值。

②双击调用目标，跟踪参数在函数内的使用，再返回调用处核对返回值的用途。

二、IDA Pro arm反汇编文件加载异常怎么办

文件完全打不开、能打开但指令混乱、地址引用错误，需要检查的内容不同。保留原文件和已有数据库，再根据实际现象处理。

1、文件无法识别或提示格式错误

下载不完整、选中了压缩包、固件外层带封装，都可能使加载器无法识别内容。修改扩展名不会改变文件的实际格式。

①核对文件大小；来源提供校验值时，计算并比对校验结果。

②解压或按对应格式提取程序文件，重新点击【New】导入；只有确认内容是裸二进制时，才选择【Binary file】。

2、处理器或位数选择错误

能显示指令不代表选择正确，错误架构也可能把部分字节解释成指令。加载器有明确识别结果时，应先核对文件头，不要反复尝试不同选项。

①关闭错误加载的数据库，从原始文件新建分析。

②在【Load a new file】中重新核对【Processor type】，根据目标资料确认AArch32或AArch64。

③检查目标字节序；裸固件按芯片和编译配置选择对应设置，不要直接套用另一份固件的参数。

3、Thumb代码被按ARM模式解析

这一项针对AArch32。已知Thumb代码出现异常指令、函数边界错乱时，可以检查T值。调整模式会影响相应地址范围内的指令定义，应先保存数据库副本。

①按G跳转到已确认的代码起始地址。

②按Alt+G，打开【Change segment register value】。

③选择T，ARM模式填0，Thumb模式填1；将修改范围限定在已确认使用该模式的代码区间。

④点击【OK】，等待分析更新；对仍未生成指令的已确认代码位置按C。

4、裸固件地址错位或跳转目标不合理

文件偏移表示内容在文件中的位置，加载地址表示内容在目标内存中的位置。二者填反后，绝对地址引用可能失效。固件开头还可能是向量表，不能直接全部转换成代码。

①查看固件说明、链接映射或设备内存资料，确认镜像起始地址和需要跳过的封装长度。

②重新通过【Binary file】加载，在ARM内存布局对话框中填写加载地址、文件偏移及加载长度。

③跳转到资料标明的入口，核对它是否落在对应代码段内，再检查已知地址引用。

三、ARM反汇编分析中容易忽略的细节

加载完成后，还要区分代码、常量和地址表。它们可能相邻存放，连续显示的一片内容并不一定都是指令。

1、检查被误识别的常量区域

常量池可以存放数值或地址，跳转表也可能包含偏移。遇到不连贯的指令时，先看引用来源，再决定数据类型。

①将光标放在可疑标签上，按X查看引用，检查它被作为数据读取还是作为跳转目标使用。

②确认属于数据后，仅选中对应范围按U取消原定义，再按D设置合适的数据宽度。

2、核对函数类型与伪代码

IDA显示的参数类型需要结合调用位置验证。F5无法生成伪代码，也可能是当前环境没有对应的ARM反编译器，不能据此判断文件加载失败。

①在函数名上按Y，依据接口资料填写已确认的参数和返回值类型。

②环境具备对应架构的反编译器时按F5，打开【Pseudocode】，对照汇编检查关键条件及内存访问。

3、留下必要的分析记录

下次继续查看固件时，地址设置和模式修改同样重要。备注应写清依据，尚未确认的用途不要直接写成结论。

①在相关地址按冒号添加注释，记录加载地址、模式调整范围及资料来源，再按Ctrl+S保存数据库。

总结

希望这篇关于“IDA Pro arm反汇编如何分析程序IDA Pro arm反汇编文件加载异常怎么办”的文章能帮到大家。ARM程序涉及的设备和应用很多，熟悉相关工具，对学习底层技术、理解产品实现都有帮助。刚接触时看不懂部分内容很正常，随着知识和经验积累，阅读程序会逐渐熟练。软件的使用价值也会在实际工作中体现出来，让投入的时间有所收获。希望大家能从中获得一些帮助，也更清楚自己的使用需求。如果有IDA Pro软件选用方面的需求，欢迎联系我们咨询。