【IDA疑难杂症修复】

我们在使用IDA进行逆向分析的时候，会遇到一些问题，这篇文章来带领大家学习IDA中疑难杂症的修复：函数大小限制，栈不平衡，switch无法识别（跳转表修复），ida Decompile as call。

一.函数大小限制

通常IDA反编译函数时会有大小限制，超过这个大小就会反编译失败，而这个大小是我们可以修改的。
修改方法：
打开IDA的安装目录，找到cfg文件夹下的hexray.cfg，搜索MAX_FUNCSIZE将64改为1024。

二.堆栈平衡

如果函数堆栈不平衡，会导致IDA positive反编译出错。

网上关于这个问题的教程多数都是让调栈指针，然后怎么alt+k如何去修复，其实他们没有发现问题的本质，一旦稍微变化，就无法解决IDA重新反编译，这种问题应该对症下药。

总的来说思路就是：因为这种情况出现的原因时函数堆栈不平衡，这个时候就应该去检查函数中对栈进行操作的指令，并判断是否平衡

分析方法：

• 1. 分析函数头函数尾，检查堆栈是否平衡
• 2. 当函数头函数尾平衡时，我们分析函数内部对栈操作的指令，以及部分函数的调用约定是否识别正确（调用约定识别不正确也会破坏堆栈平衡）

三.switch无法识别（跳转表识别）

我们想要修复switch，必须先对switch case汇编进行分析，识别出这是switch case语句，之后再进行修复。

修复方法：
光标移动到switch语句的值的哪一行（通常是mov，eax eax），然后选择Edit->Other->Specify Switch idiom，这时候就会跳出来一个窗口，让我们修复switch语句。

参数填写：

• Address Of jump table：跳转表的首地址
  Number of elements：跳转表的项数（这个学过C++汇编的同学肯定会识别），也就是switch中，除default的case个数
  Size of table element：跳转表每一项的字节数（一般就是从lea rax，da 0[rax*4]这条指令或者直接去跳转表查看得到，也有可能是其他固定值）
  Element base value：跳转表偏移的基地址，观察汇编得到偏移与跳转表的首地址相加，跳转表中的偏移时相对于跳转表首地址的，也有可能是其他固定值。
  Start of the idiom switch：switch语法的起始地址
  Input register of switch：switch（var）中的var对应的寄存器（该寄存器应该是switoidiom处的）
  Signed jump table elements：跳转表的元素是有符号的，因为有负数
  其他没有提到的选项，默认即可，再次按下F5反编译即可得到正确的结果。

四.ida Dwcompile as call

场景一：

强网杯某vm逆向
设想这样一种情况：在某个自定义的运行环境中，syscall

上图的自定义环境中的rax的值作为syscall的调用符号，返回结果也是通过rax传递
默认情况下，ida认为此处的syscall不会修改rax的值，导致rax寄存器常量传播优化，最后得到的代码结果如下：

从上图中可以看出，ida会直接进行常量传播优化，那肯定时错的。

ida直接将某一条指令强行解释为函数调用，操作方法：

• 1. 选中syscall指令
• 2. 菜单->Edit->Other->Decompile as call
• 3. 输入函数定义

场景二：

由于两次fs:0读取，ida会认为两次读取结果一样，就只会保留一次结果，实际上，vm在每次读取fs：0的时候，修改fs：0，这就导致错误
错误的反编译结果如下：

修改方法：将两次读取fs：0的指令用Decompile as call定义为：__int64 GetKey();不给参数，效果很好。