在二进制分析的时候，直接盯着汇编看，是很容易就陷进寄存器和跳转里头，绕不出来的。IDA Pro里头，那个按F5出来的伪代码，到底要怎么看，还有那伪代码里头的变量名，又要怎么去收拾它，这关键的地方，就是把那F5的窗口，当成一个“帮着你把逻辑给理顺”的视图，可别把它，当成是那最原始、没动过手脚的源码了。

这类问题一般出现在误关了IDA View-A这个标签、拖乱了子窗口的位置、切换了多窗口的布局，或者打开了以前保存过的工程数据库以后，反汇编窗口是查看地址、指令、伪代码跳转和交叉引用的核心区域，一旦这个窗口找不到了，或者它跟函数列表、输出窗口这些挤到了一起，分析的整个过程就会被打断，处理的时候不用急着去重新安装一遍IDA Pro，先从视图的恢复、窗口的停靠、桌面的布局，还有数据库的状态这几个地方挨个排查，通常就能把界面给调回来。

在分析固件、Bootloader或者裸机程序的时候，经常会遇到bin文件，这种文件没有PE或者ELF那样的结构头，所以IDA Pro没办法自己知道处理器类型、入口地址，还有ROM和RAM的映射关系，加载的时候就不能一路点“下一步”。如果基址填错了，后面看到的跳转地址、函数引用、字符串交叉引用，还有反编译出来的伪代码，都会乱掉。Hex-Rays的文档里也说过，加载Raw Binary文件的时候，需要分析的人自己去把处理器和装载的信息给补上。

在分析插件、业务组件、加密模块或者旧系统的接口库时，我们常常会碰到两个问题：一是怎么让IDA Pro动态调试一个dll文件，并把它附加到进程上；二是断点设了之后为什么总是不管用，该怎么排查，dll本身不像普通的exe程序那样可以直接跑起来，它需要被一个宿主进程加载进内存之后，才能进入被调试的状态，所以操作的关键并不是“打开dll就把断点打上”，而是要先找到正确的宿主进程，确认这个dll已经被加载进去了，然后再让IDA Pro在对应模块的地址上准确地把断点命中。

在讨论怎么从IDA Pro里把C代码导出来，还有导出来以后结构很乱又要怎么去整理之前，有一件事得先说清楚，那就是IDA Pro导出来的东西，通常并不是那种可以直接拿去编译的、原始的C语言源码，而是由Hex-Rays这个反编译器，根据汇编代码生成出来的一种长得像C语言的伪代码，这种代码，主要是拿给你理解程序逻辑、函数是怎么调用的、条件判断是怎么分叉的，还有数据是怎么样流动的，你可千万不能把它当成一个能恢复原始代码的工具来用，Hex-Rays官方也说明过，反编译器做的事情，是把机器的指令转换成更容易被人看懂的伪代码，并且，它也支持在伪代码的那个视图里面，交互式地去修改变量的名字和它的数据类型。

在IDA Pro里看程序，真正省时间的不是一上来就手工改名，而是先把能直接导进库里的调试信息和类型信息吃进去。Hex-Rays官方文档写得很清楚，IDA可以手工加载PDB、DBG、TDS这类调试信息文件，也能加载IDS符号文件；如果是调试态分析，还可以在调试器选项里开启自动加载PDB。与此同时，IDA的类型系统本身也允许你继续从type library和Local Types里补结构体、枚举和函数原型。也就是说，符号缺失时，并不是只剩下纯手工硬改这一条路。

在IDA Pro里改字节或改指令时，很多人最容易误会的一点，是以为自己一改数据库，磁盘上的原始程序就已经跟着变了。Hex-Rays官方文档对这件事写得很明确，IDA默认修改的是“载入到数据库里的输入文件镜像”，并不会立刻改动原始输入文件；真正落到文件层面，官方给了两条路，一条是先导出difference file这类补丁文件，再交给外部工具应用，另一条是直接用【Apply patches to input file】把补丁写回输入文件。也就是说，“导出补丁文件”和“生成新程序”本来就是两种不同处理方式。

在IDA Pro里看字符串引用，真正低效的地方通常不是找不到字符串，而是找到一批结果以后还在来回双击硬追。Hex-Rays官方文档把这条线分得很清楚，字符串先在Strings窗口集中看，引用再用Cross References或Cross References Tree继续追；而结果太多时，Strings本身还能先缩类型和最小长度，Cross References Tree也支持过滤和去重显示。这样分层处理，会比只在反汇编窗口里搜文本快很多。

在IDA Pro里看函数时，很多人前面的问题不是不会反编译，而是参数一旦识别错，后面整段伪代码都会跟着乱。参数少了，调用现场像缺东西；参数多了，函数签名又会显得很假。Hex-Rays官方文档对这件事说得很直接，反编译器能自动推断函数类型、调用约定和参数数量，但它并不是每次都能猜对；一旦函数类型不正确，就应该手工修改。

在IDA Pro里看C++程序，虚函数表最容易让人误判的地方，不是完全找不到，而是看到了一个函数指针数组，却不知道它到底是不是虚表。Hex-Rays官方文档把这件事说得很直接：如果一个C++类包含虚函数，IDA会尝试为它重建虚函数表，类名如果叫A，对应的虚表类型通常会被建成`A_vtbl`，而类结构里那根指向虚表的指针会被命名为`__vftable`。也就是说，识别虚表时，先看“类结构里有没有`__vftable`”，再看“本地类型里有没有`类名_vtbl`”，比只盯数据段里一串地址更稳。