bin文件通常只是一段连续的字节，没有PE或者ELF文件里那种现成的段表、入口地址和加载信息，所以用IDA打开之后，不能光看着反汇编结果像不像代码就下结论。基址一旦选错了，后面整个文件里的跳转地址、字符串引用、中断向量还有函数识别，全都会跟着一起跑偏。拿Cortex-M固件来说，现在比较新的IDA版本已经能直接识别原始固件，也能自己去判断基址，但就算这样，把文件导进去之后，还是得对着芯片手册和启动区域老老实实复核一遍。

　　一、IDA逆向bin文件时基址怎么判断

　　往IDA里导入原始bin文件的时候，先到【Load a new file】那个窗口里选好Binary file和正确的处理器架构，IDA加载完后自己会先跑一圈分析。只不过原始文件里面没有结构信息，基址到底是多少，还是得靠人工去确认。

　　1、先翻芯片手册查启动地址

　　要是已经知道芯片型号了，最直接的办法就是去翻芯片手册里Flash映射那一块。大量Cortex-M单片机的应用程序都是从0x08000000这一类地址开始跑的，也有部分芯片用0x00000000映射启动区。碰到带Bootloader的项目，还得再去确认一下，后面的应用程序到底是放在了哪一个分区里面。

　　2、去看向量表里的特征

　　Cortex-M固件的开头一般就是向量表。最前面那个32位值是主堆栈指针的初始值，应该落在RAM区域里；紧接着的第二个值是复位处理函数的入口，应该落在Flash代码区里。Arm文档也说得很清楚，向量表里存着堆栈指针初值和异常处理入口，芯片复位后处理器会从向量表里把Reset Handler的地址读出来，然后跳过去开始慢慢执行。

　　3、把map文件和烧录脚本也拿出来对照

　　要是能拿到工程链接用的map文件、ld脚本、scatter文件或者烧录时的配置文件，那就别靠猜了，直接去查Flash起始地址、应用偏移还有RAM范围，这些东西比凭经验靠谱很多。特别是那种Bootloader加App的结构，应用的入口偏移一定要看清楚。

　　4、用交叉引用来验证一下

　　基址改完之后，跑到复位入口附近，看看那些跳转指令、常量加载和函数调用是不是都落在了合理的地址上。如果一大堆引用都蹦到根本不存在的区域，或者字符串地址完全对不上号，那多半就是基址或者处理器模式还有问题。

　　二、IDA逆向bin文件后内存布局怎么核对

　　bin文件导进来以后，IDA默认很可能只给它建了一段连续的区域。但是真实的嵌入式系统一般都有Flash、RAM、外设寄存器和别的存储区，这些东西都要照着芯片的内存映射一个一个补上去。

　　1、先看看现在有哪些段

　　顺着【Edit】→【Segments】→【Choose segment】进去，检查一下当前这个段的起始地址、结束地址和访问权限。IDA要求所有要分析的东西都必须塞在某个段里面，段外的字节是没法正常变成指令或数据的。

　　2、把RAM区域补上

　　再到【Edit】→【Segments】→【Create a new segment】里，按照芯片手册把RAM段给建好，比如从0x20000000开始的那片读写区域。建完以后，再去盯一下代码里的全局变量引用，看它们是不是慢慢都落进了这片RAM。外设寄存器的区域也可以单独建一段，后面命名的时候方便。

　　3、基址要是写错了就整体平移一下

　　文件已经导进来了，但发现当初基址填错了，就去【Edit】→【Segments】→【Rebase program】，按差值把整个程序整体移动一下。IDA文档里也写了，Rebase program能把整个程序按指定字节数平移；如果只是某一个段位置不对，还可以用Move a segment单独去处理。

　　4、检查代码和数据的边界

　　代码区一般带着可执行属性，常量区以只读数据为主，RAM段就是拿来读写数据的。看到某一块既像代码又像数据的时候，别急着把整段全强制反汇编，可以先从复位入口、跳转目标和交叉引用这几个方向慢慢确认，这样不容易把边界搞混。

　　三、IDA逆向bin文件后怎样核对内存布局

　　内存布局调整得差不多了以后，还不能就这么放着，得从启动流程能不能跑通、函数识别对不对、变量引用落没落对位置这三个方向再过一遍。

　　1、顺着Reset Handler往下追

　　Cortex-M向量表的第二个值，最低位带着Thumb状态位。跳到复位入口之后，去看那段初始化代码有没有去设置堆栈、把初始化数据从Flash复制到RAM里、把BSS段清零，然后再跳进main函数。如果整条启动链都能顺着往下走通，那就说明基址的判断大致是靠谱的。

　　2、核对一下RAM的引用情况

　　去看那些LDR、STR指令访问的地址，如果全局变量大面积地落在之前建好的RAM区域里，说明数据段的划分跟真实布局挺接近的；要是有一大堆地址全跑到空洞区域里去了，就得回头再查基址和加载偏移。

　　3、核对中断向量表

　　顺着向量表继续往下看，在复位入口后面还有不少中断入口。正常情况下，应该有好几个地址都指向Flash里面可执行的区域，那些没被用到的中断可能会统一指向一个默认处理函数。如果发现所有入口全是无效的，那多半就是加载地址或者字节序还有问题。

　　4、把分析数据库保存下来

　　等所有段的名字都改踏实了、函数也都重命名完了、注释也加得差不多了，就把IDA的数据库保存一下。IDA把分析出来的这些东西全部存在它自己的i64数据库文件里，并不会直接去改动原来那份原始的bin文件。

　　总结

　　用IDA逆向bin文件的时候，基址的判断可以从芯片启动地址、Cortex-M向量表的特征、手头的map文件和交叉引用这几块一起入手。导入之后，再通过【Edit】→【Segments】去检查Flash、RAM和外设这几片区域有没有划完整，基址一旦发现不对，就用Rebase program整体挪一下。只要复位入口能顺利走通、RAM的引用落在正常位置、中断向量也能对得上，后面的函数分析和内存布局判断就会省下很多来回折腾的时间。