IDA Pro反编译hex文件前要准备什么 IDA Pro反编译hex文件时内存布局该怎么核对

IDA Pro反编译hex文件前需要准备什么，以及反编译hex文件时内存布局又该怎样核对，重点之处并不在于直接把hex文件拖进IDA然后按下F5，而在于先要判断清楚它到底是一份什么类型的镜像。hex文件常见于MCU固件、Bootloader、片上Flash数据或者烧录文件，它里面可能只包含代码段，也可能混杂着中断向量、校验区、配置字，还有多个不同的地址段。IDA本身能够处理原始二进制文件，也可以手动去布置段信息，Hex-Rays也专门说明过，在分析固件这一类原始文件的时候，正确的内存布局是极其重要的。

一、IDA Pro反编译hex文件前要准备什么

反编译hex文件之前，先要把目标芯片、文件的来源，还有加载的地址这几项弄清楚。很多反编译结果之所以显得凌乱，并不是因为IDA的识别能力不够，而是处理器、字节序，或者ROM的起始地址，从一开始就选错了。

1、确认芯片和架构

首先要确认的是，这份hex文件对应的是哪一款MCU的型号、什么CPU内核、哪一套指令集，以及采用的是何种字节序。比如ARM Cortex-M、8051、AVR、RH850、TriCore这些目标，在IDA里面所要选择的处理器是全然不同的。如果处理器选错了，那么后面就算还能看到一些数据，也基本上没有办法得到有意义的反汇编结果。

2、准备内存方面的资料

需要去查看【芯片数据手册】当中，Flash的起始地址、RAM的地址范围、中断向量表的位置，还有外设寄存器的区域。

这一步是相当关键的。hex文件里面虽然带有地址记录，但它并不一定能够完整地告诉你芯片的全部内存结构。数据手册里的memory map，可以帮助判断哪些区域是代码，哪些是RAM的引用，又有哪些是MMIO外设的地址。在做嵌入式固件分析的时候，通常的做法也正是从芯片的memory map里面，去确认Flash和SRAM的基地址。

3、保留原始文件和转换文件

如果需要把Intel HEX格式转换成bin格式，那么建议同时保留下原始的hex文件、转换后的bin文件，还有转换所用的命令。hex文件本身是携带地址信息的，bin文件通常就只剩下连续排列的字节了，一旦在转换的时候把起始地址处理错了，那么后面在IDA里面所看到的地址，就会出现整体的偏移。

二、IDA Pro反编译hex文件时内存布局该怎么核对

内存布局核对的核心，就是要让IDA里面所显示的地址，跟芯片真实的运行地址能够保持一致。如果地址对不上，那么跳转、函数调用、向量表，还有外设的访问，这些地方看起来就都会非常奇怪。

1、核对加载的基址

在导入文件的时候，需要去确认程序的加载地址，是不是和Flash的起始地址相吻合。比如在Cortex-M固件当中，常常会把向量表放在Flash的起始位置，如果在IDA里面是从0x00000000开始加载的，但是芯片实际上却是映射在0x08000000，那就要根据真实的运行地址，去把它调整过来。IDA在加载原始文件的时候，是可以设置加载位置的，必要的时候，也可以通过增加segment或者拆分segment的方法，去修正布局。

2、检查中断向量表

可以先去看一看文件的头部，或者是Flash的起始位置，看看那里是不是像一个向量表。在Cortex-M固件当中，向量的第一项通常是初始的栈指针，再往后跟着的是Reset Handler，还有各类异常的入口。如果这些地址，大体上都落在一个合理的Flash范围之内，那就说明基址大概率是正确的；如果跳转的目标，跑到了空白区域，或者指向了无效的地址，那就要重新去检查加载地址和端序了。

3、补充分段的信息

在【Segments】里面，去检查一下代码段、只读的数据段、RAM段，还有外设的地址段，这些是不是合理的。

hex文件里面，有可能包含多个并不连续的地址区域，IDA在自动加载以后，也不一定就能完全符合芯片的真实布局。在必要的时候，可以手动去增加RAM段、外设寄存器段，或者把一些明显属于数据区的部分，从代码里面给划分出来。Hex-Rays的文档同样也提到了，在做原始二进制分析的时候，代码有可能会引用到文件之外的MMIO，或者是额外的内存，因此就需要去补充合适的segment。

三、内存布局不对时通常会出现什么现象

hex文件能够被打开，这并不代表加载的方式就是正确的。内存布局错了以后，IDA依然会生成反汇编，但是函数的边界、交叉引用，还有伪代码，就都会出现明显的异常。

1、跳转目标大量无效

如果call指令、branch指令，或者是向量表的入口，频繁地跳转到那些根本不存在的地址上面，那一般就要去怀疑基址、段的范围，或者处理器的模式了。尤其是在ARM Thumb代码里面，还需要注意，入口地址的最低位，有可能是用来表示Thumb状态的，不要把这种情况错误地当成普通的地址错误。

2、数据和代码混在了一起

如果一大片本来是数据的地方，被IDA识别成了指令，或者是在函数的中间，突然就出现了明显的字符串、表格，还有校验常量，那就要去手动重新标记一下。可以先根据交叉引用，还有地址的范围，去判断哪些是查表的数据，哪些才是真正的代码。

3、外设访问没有被命名

固件当中，如果大量地访问那些固定的高地址，那么这些地址常常就是外设寄存器。在没有数据手册的时候，这些地址看上去，不过是些普通的常量罢了；一旦把寄存器的区间和名称补充上去，代码的逻辑就会清楚很多。

总结

IDA Pro反编译hex文件前要准备什么，以及IDA Pro反编译hex文件时内存布局该怎么核对，可以按照“确认芯片的架构、准备好memory map、核对加载基址、检查向量表、补充Segments、再回头去看跳转和外设的访问”这样一个顺序来做。分析hex文件，最让人担心的，就是一上来就把地址给弄错了，要是那样的话，后面所有的函数、引用，还有伪代码，就都会跟着一起跑偏。只有先把处理器、基址、RAM、Flash和MMIO这些区域都对齐了，然后再去进行反编译，IDA里面所得到的结果，才会更加接近真实的固件逻辑。