售前问题

IDA Pro在反汇编ARM代码时，应当怎样去分辨它的模式，还有在分析ARM的跳转表时，又该采用怎样的方法，这是处理固件、so库和嵌入式程序时经常遇见的问题。ARM代码里常常会同时存在ARM和Thumb两种模式，较新的程序则可能是AArch64架构。如果模式判断出现错误，IDA所显示的指令就会变得异常，函数的边界、交叉引用以及F5生成的伪代码，也都会跟着出现问题。跳转表的情况与此类似，一旦IDA没有正确识别，switch语句的分支就会断开，分析人员就很容易遗漏关键逻辑。

IDA Pro的反汇编窗口忽然找不见了，该怎么处理，还有反汇编窗口的布局如果乱掉了，又能怎么把它给恢复过来，遇到这种事，先不用急着去怀疑是不是IDB文件已经坏掉了。很多情况下，其实就是那个窗口被关掉了、被拖到了别的位置、切到了其他的视图里面，再或者，就是桌面布局把某一次不正常的状态给保存下来了。IDA的桌面，是会记住主窗口、工具栏，还有数据库窗口的这些配置的，所以窗口本身是个什么状态，也会影响到下一次打开的时候，它到底会怎么显示。

IDA Pro导出C代码后可读性很差怎么办，以及导出C代码时怎样减少结构混乱，不少人第一次接触反编译结果的时候，都难免会觉得有些失望。导出来的内容，看上去确实有点像C语言，可是又跟真正的源码不是一回事，变量名满篇都是v1、v2、a1这一类，结构体也没有恢复出来，if、while、goto全部搅和在一起，读起来相当费劲。其实这种现象非常正常，IDA的反编译结果，更接近于“拿给人看的伪C代码”，它既不是原来项目里的那份源码，也不应当被直接当成可以维护的代码来用。反编译工具能够帮助分析人员去理解程序的逻辑，但是原始的变量名、注释，还有业务结构这一些信息，在编译之后绝大多数都已经丢掉了，只能依靠后期的整理，一点一点地补回来。

IDA Pro反编译hex文件前需要准备什么，以及反编译hex文件时内存布局又该怎样核对，重点之处并不在于直接把hex文件拖进IDA然后按下F5，而在于先要判断清楚它到底是一份什么类型的镜像。hex文件常见于MCU固件、Bootloader、片上Flash数据或者烧录文件，它里面可能只包含代码段，也可能混杂着中断向量、校验区、配置字，还有多个不同的地址段。IDA本身能够处理原始二进制文件，也可以手动去布置段信息，Hex-Rays也专门说明过，在分析固件这一类原始文件的时候，正确的内存布局是极其重要的。

IDA Pro反编译so文件的时候，入口应该怎么去找，以及so文件在反编译完成以后，交叉引用又该怎样去看，先要弄清楚一件事情：so文件它并不是普通的exe，通常也没有一个像程序主函数那样清清楚楚的入口。so是共享库，里面很多的函数，都要等到宿主程序把它加载起来以后，才会被调用。IDA能够对so进行反汇编和反编译，但是在分析的时候，不能只盯着ELF Header里面的那个入口地址，更要去关注导出函数、初始化函数、JNI注册逻辑，还有交叉引用这一些关系。

IDA Pro arm64分析时重点看哪些寄存器IDA Pro arm64调用约定通常该怎样判断，重点并不是把所有寄存器全部背下来，而是先抓住“参数从哪里来、返回值放在哪里、函数怎样保存现场、栈上是否存在额外参数”。arm64反汇编中寄存器数量很多，但真正影响函数理解的，通常集中在参数寄存器、返回寄存器、栈指针、链接寄存器和少量被调用者保存寄存器上。