阅读伪代码时，判断条件里的0、1、2并不总是普通数字，它们可能分别代表空闲、运行和失败。含义确认后，用枚举名称替换数值，后续分析会省去不少翻找笔记的时间。不过，创建枚举与应用枚举是两步操作，IDA不会把数据库里所有相同数字都自动替换掉。还要根据变量用途、参数类型和具体表达式，决定在哪些位置使用这些名称。

　　一、IDA Pro怎么创建枚举类型

　　IDA 9.0起，原来的结构体和枚举窗口整合到了Local Types。下面主要按新版界面说明，旧版可以从Enumerations窗口完成类似操作。

　　1、创建枚举并添加成员

　　假设已经确认某个状态变量中，0表示空闲、1表示运行、2表示失败，可以建立一组对应的状态常量。

　　①点击【View】→【Open subviews】→【Local Types】，打开本地类型窗口。

　　②在类型列表中右键选择【Add type...】，切换到【Enum】页签。

　　③在【Name】中填写类型名，例如RunState；根据实际数据宽度设置【Size】，通过【Number representation】选择数值显示方式。

　　④有负数成员时检查【Signed】；普通状态枚举不要因为数值较小就勾选【Bitmask】。

　　⑤点击【OK】后展开该类型，使用【Add enum member...】添加成员，分别填写名称与数值，例如STATE_IDLE对应0、STATE_BUSY对应1、STATE_ERROR对应2。

　　名称应表达已经确认的含义。暂时不能确定某个值的用途，可以先保留数字或补充注释，不必为了让伪代码好看就提前下结论。

　　2、把枚举用到伪代码中

　　①打开目标函数的【Pseudocode】，将光标放在需要替换的数字上，按M打开符号常量选择窗口。

　　②从匹配当前数值的成员中选择目标常量，确认伪代码显示了对应名称。

　　③如果整个变量都表示这组状态，选中变量，使用【Set type】或按Y，将其声明改为对应枚举类型。

　　④按F5刷新伪代码，再检查赋值、比较和函数调用处的显示。

　　按M适合指定某个数字的含义，修改变量类型则是在说明变量整体的用途。两种方式可以分别使用，不需要为了替换一个常量就改动整条调用链。

　　二、IDA Pro枚举常量未显示在伪代码中如何检查

　　先确认枚举有没有应用，再检查数值和类型是否匹配。数据库中存在一组枚举，并不意味着反编译器知道当前数字属于它。

　　1、只创建了类型，还没有指定使用位置

　　①回到【Local Types】，展开目标枚举，确认成员和数值已经保存。

　　②在【Pseudocode】中选中目标数字按M，查看选择窗口里是否能找到对应成员。

　　③如果变量具有明确的状态含义，通过【Set type】应用枚举后，再按F5刷新。

　　若此时名称出现，说明枚举本身没有问题，之前只是尚未关联到具体位置。不要为了触发显示，反复删除和重建同一类型。

　　2、成员数值、宽度或符号不匹配

　　①在【Local Types】中右键目标类型，选择【Edit type...】，核对【Size】和【Signed】。

　　②查看成员的实际数值，确认十进制与十六进制没有录入错误。

　　③对照【Pseudocode】中的强制转换及反汇编里的操作数宽度，检查是否发生了截断、符号扩展或取反。

　　④修正定义后，再对目标数字按M选择成员。

　　例如-1与全位为1的无符号数，可能涉及相同的位模式，但显示及匹配还受宽度、符号解释影响。不能只看文本相似，就认定它们是同一个常量。

　　3、枚举应用在汇编里，伪代码却仍是数字

　　①在【IDA View】中选中已设置枚举的操作数，确认替换发生在正确指令上。

　　②切回【Pseudocode】按F5，重新生成当前函数。

　　③如果数字仍未变化，直接选中伪代码中的数值按M，尝试在该位置应用符号常量。

　　④对数组下标、switch分支等表达式，结合汇编查看数值是直接存在，还是由反编译器还原出来的。

　　汇编中的常量能够以原值保留到伪代码时，相关表示通常可以沿用。但反编译会合并和变换表达式，伪代码中的数字未必对应一条相同数值的指令。另外，在伪代码中设置的常量表示也不会自动反向同步到汇编。

　　4、变量类型正确，调用参数仍不显示

　　①在【Pseudocode】中查看被调用函数声明，确认对应参数是否仍被识别为普通int。

　　②选中函数，通过【Set type】修正参数类型；若是函数指针调用，同时检查函数指针声明。

　　③如果状态存放在结构体中，到【Local Types】修改对应字段类型，而不是把整个结构体改成枚举。

　　④刷新调用者，检查参数、返回值和中间变量是否仍存在不合适的类型转换。

　　类型应沿着数据实际经过的位置修正。为一个用途尚不明确的通用参数强行指定枚举，可能让其他调用位置出现含义不符的名称。

　　三、IDA Pro里哪些常量适合单独整理

　　状态编号和位标志看起来都像整数，组织方式却不同。已有系统定义的常量，也不必重新手工录入。

　　1、组合标志使用位掩码枚举

　　①在【Local Types】中编辑目标枚举，确认成员是否代表能够组合的独立标志。

　　②按实际定义填写各成员数值，例如读、写、执行分别对应1、2、4，再根据用途启用【Bitmask】。

　　③在【Pseudocode】中选中组合值按M，检查是否能够表示为相应标志的按位组合。

　　④对照AND、OR等操作继续判断，确认名称与代码行为一致。

　　普通状态编号3，可能只是第四种状态；位标志中的3，则可能表示1和2同时成立。没有确认用途前，不宜把一组连续编号全部设置成位掩码。

　　2、优先查找已有标准枚举

　　①打开【Type Libraries】，确认已经加载与目标平台匹配的类型库。

　　②在【Local Types】的【Add type...】窗口切换到【Enum】，使用【Import standard enum by enum name】查找类型。

　　③只知道常量名时，使用【Import standard enum by symbol name】，找到后核对定义再导入。

　　④回到伪代码，用M或【Set type】应用导入的定义，并保存数据库。

　　总结

　　IDA Pro中的枚举能把反复出现的数字整理成有含义的名称，让状态判断、参数用途和标志组合更容易阅读。名称是否合适，仍取决于对代码行为的理解，不能单凭数值相同就套用同一常量。遇到伪代码没有显示枚举时，从应用位置、数值匹配和类型声明逐项查看，往往比重建类型更直接。希望这些操作能帮助大家整理分析线索，也为后续阅读留下清楚的依据。如有相关需求，欢迎联系我们咨询了解。