IDA Pro反汇编工具怎么查看代码 IDA Pro反汇编工具如何分析程序

打开一个EXE，屏幕上很快就会出现地址、寄存器和跳转指令。看得到代码，却不一定知道该从哪里读：入口附近可能全是初始化，函数名字也未必能看出用途。IDA Pro反汇编工具怎么查看代码，IDA Pro反汇编工具如何分析程序，可以从一个明确的问题开始，例如某条报错为什么出现、某个文件在哪里被读取。下面以Windows可执行文件为例，使用英文菜单和默认快捷键。

一、IDA Pro反汇编工具怎么查看代码

反汇编主要在【IDA View】中查看，显示的是机器指令对应的汇编形式。文件载入后，IDA会自动识别部分代码、数据和函数，识别结果仍可以人工调整。

1、载入文件并等待分析

PE、ELF等格式带有文件头，IDA可以据此选择加载器。裸二进制则需要另行确认处理器、位数和加载地址，不能直接照搬EXE的设置。

①在【Quick Start】点击【New】，选择目标文件。

②在【Load a new file】核对加载器和【Processor type】，点击【OK】。

③等待左下角分析状态显示AU:idle。

文件载入并不等于启动程序。练习时可以用自己编译的小程序，与源码对照。

2、从函数列表进入代码

自动名称sub_后面带的是地址信息，不是源码里的函数名称。没有调试符号时，列表中出现大量这类名字很正常，不必先把每个函数都改名。

①按Shift+F3打开【Functions】，双击要查看的函数。

函数入口不一定是整个程序入口。查文件读取，可以直接从相关调用入手。

3、跳转到地址或被调用函数

已有日志、调试记录或分析笔记中的地址，可以直接定位。需要区分文件偏移、相对地址和IDA中的地址，它们不一定是同一个数值。

①按G，输入当前数据库中的目标地址，点击【OK】。

②双击指令里的函数名或跳转目标进入对应位置，按Esc返回。

运行时地址还可能受到模块加载基址变化的影响，定位前需要核对。

4、切换列表和图形视图

列表视图适合按地址检查指令和相邻数据，图形视图便于查看一个函数里的分支。图中的每个框主要对应一个基本块，并不是一个独立函数。

①在已识别的函数内按空格，切换列表视图和图形视图。

②在图形视图中按W显示完整图，按1恢复到100%缩放。

箭头表示代码流向。某条路径是否执行，仍取决于对应的跳转条件，不能把框在屏幕上的上下顺序当成执行顺序。

二、IDA Pro反汇编工具如何分析程序

分析时先确定要回答什么。查一条错误提示和查文件写入功能，起点就可能不同。找到相关代码后，再核对条件、参数和返回值，比只根据函数名猜用途更可靠。

1、从提示文字找到判断位置

例如程序提示“文件格式不正确”，这句话的引用可以帮助定位检查代码。但文字附近也可能只是一个统一的报错函数，需要继续查看是谁调用它。

①按Shift+F12打开【Strings】，找到目标文字。

②双击字符串进入所在地址。

③选中字符串名称按X，双击引用位置。

④查看引用前后的调用、比较和跳转指令。

假设某个值被拿来与固定常量比较，随后走向报错路径，可以确认这里参与了一项检查。它检查的是文件标识、长度还是版本，要继续看这个值从哪里读出。

没有直接引用时，文字可能通过指针表使用。列表没有收录，也可能与编码或扫描条件有关，不能据此断定程序没有这条提示。

2、从导入接口查看相关流程

要分析文件访问，可以先看程序导入了哪些接口。导入表能提供线索，但一个接口名称不能代表整个函数的用途。例如文件读取后，数据可能还要经过解压或格式解析。

①点击【View】→【Open subviews】→【Imports】。

②找到相关接口，双击进入导入项，按X查看引用。

③进入调用位置，检查参数准备过程和返回值的后续使用。

④在所在函数切换图形视图，分别查看成功路径、失败路径和重复执行的部分。

x86、x64和ARM的传参方式不同，参数可能放在栈上，也可能放在寄存器里。不能看到call前有几条push，就直接认定函数有几个参数。

函数中的循环也要看退出条件。有的循环按长度结束，有的等待特定字节，有的在接口返回失败后退出。只看到一条向前或向后的跳转，还不足以确认它在处理什么。

静态分析能帮助判断可能的路径，不能直接给出运行时的实际参数。路径是否被执行，需要结合具体输入或调试记录确认。

三、分析过程中怎样整理代码

分析了一会儿再回到某个sub_函数，很容易忘记刚才判断到了哪里。名称和注释可以保留判断依据，识别错误也能局部修正。

1、给已确认的函数改名

“调用了读取接口”和“负责读取配置文件”包含的信息不同。用途还没确定时，名称不宜写得过于具体，注释中记录实际观察更合适。

①选中已确认用途的函数名，按N输入新名称，点击【OK】。

②在相关指令处按冒号键，补充判断依据，点击【OK】。

例如注释写“返回值与读取长度比较”，就能说明这条判断从哪里来。单写“关键位置”，下次打开仍然需要重新分析。

2、局部修正代码识别

明确的调用目标被显示成数据时，可以检查是否漏掉了指令。只有确认指令起点和范围以后，才适合重新定义；常量表也可能被错误地解释成汇编。

①定位已确认的代码起点；若原定义错误，选中对应范围按U取消定义。

②在起点按C创建指令，检查后续指令是否合理。

③确认这里是函数入口后，按P创建函数。

这些操作修改数据库里的分析定义，不会直接改写原文件字节。处理一小段后就检查引用，避免把邻近数据一起转成代码。

3、保存数据库继续分析

数据库保存名称、注释、类型和人工调整。下次重新载入原EXE，会另建分析，已有记录不会自动跟过去。

①按Ctrl+S保存数据库，下次从【Quick Start】打开保存的数据库。

总结

查“IDA Pro反汇编工具怎么查看代码IDA Pro反汇编工具如何分析程序”时，最容易遇到的落差，就是教程里几张截图讲完的功能，自己打开文件却找了很久。教程通常已经挑出了相关函数，屏幕上的代码也经过整理；刚载入的文件当然不会同样清楚。有时只是想弄明白一条报错，读着读着又发现前面还有另一层检查，花的时间比预想多不少。你现在想分析的是哪一部分功能？文件读写、界面提示，还是某个判断分支？如有相关需求，可以联系我们咨询！