一段函数的异常处理代码，可能被编译器放在离入口很远的位置。也有两个函数各自完成前面的工作，最后跳到同一段清理代码。遇到这类布局，IDA Pro会用函数块记录分散的指令范围：包含入口的是入口块，其余可以作为尾块。手动追加尾块改的是IDA分析数据库里的函数定义，原程序的指令和跳转地址不会随之改变。

　　一、IDA Pro函数尾块怎么追加

　　追加时需要选中一段连续的地址范围，再指定它归入哪个函数。操作前先看跳转如何进入这段代码，以及执行到哪里离开，避免把相邻但无关的指令一起框进去。

　　1、从跳转目标确认尾块边界

　　尾块不一定以返回指令收尾，也可能跳回函数的另一处。判断范围时，地址远近只能作参考，进出这段代码的路径更有用。

　　①在【IDA View】中定位父函数里的分支，沿跳转进入候选尾块。

　　②查看入口处的【交叉引用】，确认哪些位置跳向这里，再顺着指令检查后续分支和落点。

　　③切换到文本视图，选中【尾块指令范围】。从首条指令开始，覆盖该块末条指令，避开后面的对齐字节和其他函数入口。

　　2、把选定范围加入父函数

　　①保持选区，点击【Edit】→【Functions】→【Append function tail…】。

　　②在弹出的函数列表中选择目标【父函数】，核对入口地址后确认。

　　③返回父函数入口，在【IDA View】的文本视图中查看尾块注释，再切到图形视图检查对应分支。

　　3、追加失败时核对已有函数块

　　①回到选区起点和终点，在【IDA View】中查看两端是否落入不同的函数块。

　　②若看到【START OF FUNCTION CHUNK】与【END OF FUNCTION CHUNK】注释，按已有尾块的完整范围重新选择，再执行【Append function tail…】。

　　新建的尾块不能与已有函数块部分重叠。如果原先只选了共享清理代码的后半段，而这几条指令已经位于一个更大的尾块里，就不能按这个选区再建一块。若选中的是另一个函数的入口块，则应回查它究竟是独立函数，还是自动分析划错了边界，避免为了追加而直接删除函数定义。

　　二、IDA Pro函数尾块能否被多个函数共享

　　可以。同一段地址范围能加入多个函数的定义，并在各自的函数图里显示。IDA仍会指定其中一个函数为尾块所有者，其余使用该块的函数也都是它的父函数。

　　1、将同一个尾块加入第二个函数

　　假设函数A和函数B都有分支跳往同一段退出代码，且这段代码已经是A的尾块。给B补充函数定义时，可以直接复用这块地址范围。

　　①在【IDA View】的文本视图中定位A的尾块，重新选中整个区间。

　　②执行【Edit】→【Functions】→【Append function tail…】，在列表中选择【函数B】。

　　③分别打开【函数A】和【函数B】的图形视图，确认两边都出现同一地址的尾块，并检查各自进入该块的分支。

　　2、区分尾块所有者和使用它的函数

　　①把光标移到尾块内，在【IDA View】的文本视图中查看块注释和列出的父函数。

　　②用IDAPython核对时，调用【ida_funcs.get_fchunk()】取得尾块，再用【func_parent_iterator_t】枚举引用它的函数。

　　如果脚本只对尾块内的地址调用get_func，得到的是尾块所有者。以此判断“只有一个函数用到这段代码”，就会漏掉其他父函数。排查共享关系时，父函数列表和指令的交叉引用也有不同用途：前者记录IDA怎样定义函数，后者用来核对控制流从哪里进入这段指令。

　　三、IDA Pro追加尾块后怎样复核和撤销

　　图形视图多出一个节点，只能说明这段地址已经加入函数定义。复核时应回到当初需要修正的分支，看新增尾块能否解释那条路径。

　　1、对照函数图和重新生成的伪代码

　　①从【父函数入口】打开图形视图，沿原来的跳转进入新追加的尾块，检查后续去向。

　　②如果装有对应架构的反编译器，在父函数内按【F5】重新查看伪代码。

　　③若原先有【JUMPOUT】提示，核对它指向的地址是否已纳入函数范围。

　　缺失尾块可能让反编译器把本应留在函数内的跳转显示成JUMPOUT，但看到这个提示也不宜直接追加目标范围。如果补块后路径仍不合理，应回看跳转目标和函数边界，特别是原指令走的是普通调用还是直接跳转。

　　2、只解除追加错误的函数关系

　　共享尾块挂错函数时，可以只解除那一条归属关系。其余仍使用该块的函数不必重新追加。

　　①把光标放在【尾块】内，执行【Edit】→【Functions】→【Remove function tail…】。

　　②若弹出父函数列表，只选择追加错误的【父函数】，确认移除。

　　③回到仍应使用该块的【函数图】，确认尾块仍在。若移除的是原所有者，且还有其他父函数，IDA会从剩余使用者中重新指定所有者；若没有任何父函数，原指令仍留在反汇编列表中。

　　总结

　　判断一段代码该不该作为共享尾块，关键是看不同函数的执行路径是否确实进入同一个地址范围。追加尾块可以补全函数图，也可能让反编译结果更贴近原来的控制流，但它不会改变程序本身。做分析记录时，最好同时写下尾块范围、进入它的分支以及使用它的函数，日后就容易解释为什么同一段代码会出现在多张函数图里。有相关需求，欢迎交流。