售前问题

做壳、反调试和早期初始化分析时，TLS回调经常比OEP更早执行，所以一旦漏掉，后面的控制流判断就容易偏。微软的PE规范写得很明确，TLS目录里有一个【Address of Callbacks】字段，它指向一个以空指针结尾的回调函数数组，数组里的多个回调会按地址出现顺序被调用。Hex-Rays早期发布说明也提到，IDA对PE文件已经能够识别TLS callback entries并添加注释。

在IDA里，段权限看起来只是几个小勾选，但它影响的不只是显示。权限设错以后，轻一点会让段列表里的读写执行状态看着别扭，重一点会把反编译判断也带偏。Hex-Rays官方文档里写得很明确，段属性窗口可以直接改Read、Write、Execute，段列表里也会显示R、W、X、D、L这些标志；另外，反编译器会把“没有写权限的段”当成常量内存来处理，所以写权限识别错了，伪代码结果也可能跟着失真。

很多人第一次在IDA里看导出表，最容易犯的不是不会打开窗口，而是把几个地址概念混到一起。看上去都是一个十六进制数，实际上你手里可能同时在对比导出表里的地址、PE工具看到的RVA、文件偏移，甚至还有运行时重定位后的实际加载地址。Hex-Rays官方文档对导出表窗口的定义很直接，Exports窗口展示的是导出符号名、该符号在当前分析程序里的地址，以及序号。也就是说，这里看到的是分析数据库里的程序地址，不是文件偏移。

做逆向时，类型一旦没跟上，后面的结构体、函数原型和伪代码都会一起发飘。很多人以为类型库就是装进 IDA 以后自动全局生效，实际上 IDA 现在把类型相关动作拆成了几层，类型库负责提供外部定义，本地类型负责落到当前数据库里，真正套到函数和数据上还要再做一步应用，所以前面少一步，后面就会出现类型明明加载了，但看起来还是不准的情况。官方文档也明确写到，外部类型库加载后可在整个 IDA 中访问，而一旦被引用，就会复制到当前数据库的【Local Types】里。

做逆向时，函数边界一旦识别歪了，后面很多判断都会跟着跑偏。轻一点的情况，是伪代码里突然冒出跳不回来的分支，或者函数尾巴被截掉一段。重一点的情况，是本来属于别的函数的代码被吞进来，结果图视图、交叉引用、反编译输出全都开始别扭。Hex-Rays官方对这件事讲得很直白，函数边界、函数尾块、无返回函数分析和重新分析机制，本来就是连在一起看的，边界错了，后面很多分析结果都会被带偏。

很多人第一次用IDA的FLIRT，会觉得这件事应该很简单，库签名一导进去，常见运行库函数就该自动识别出来。真到项目里却经常不是这样，有时是签名根本没吃进去，有时是签名文件明明加载了，识别结果还是很少，还有一种情况更烦，IDA其实已经匹配到一部分字节，但因为交叉引用条件没满足，最后还是没有把函数真正定名。Hex-Rays官方文档对这套机制写得很清楚，FLIRT本来就是做标准库函数识别用的，但它并不保证百分之百命中，而且自动检测签名也并不总能成功。