IDA使用技巧

1. shift+F12 展示所有的字符串；

2. ctrl+x查找某一字符串出现的所有位置；

3. F5反编译，查看伪代码；

4. *可以查看数组元素的起始位置和每个元素所占空间是多少；

5. y可修改数据类型；

6. n可修改变量名；

7. shift+E可导出数据（先用y修改数据类型，再根据数据类型选择合适的进行输出数据）,提取数据时还是需要再去关注一下hex界面里面的数据，防止丢失；

8. 选中伪代码当中字符按tab键到汇编语言；

9. 空格键实现图型和文本格式转化；

10. 有时函数未正确识别，在函数的起始地址的汇编代码处按p；

11. 快捷键D修改对应的数据类型；

12. A转化为对应字符串，尤其是没有正常解析的零散字符，可以将光标放置起始位置，然后使用快捷键A；

13. IDA函数窗口中，每个函数有一个关联标志，L标志表示其为库函数；

14. 按G键可进行跳转,用于实现指令之间的跳转；

15. 在views的open subviews中有function caLL窗口可以查看函数的调用；

16. 当静态调试和动态调试基地址不同时，可以采取修改IDA基地址确保二者可以共同分析 Edit->Segments->Rebaseprogram；

17. c键可将指令转化为代码，d键可将代码转化为数据，这两个快捷键在面对对抗反汇编的方法时经常使用。

18. 对立即数进行分析时，R:将立即数转化为字符；H: 将立即数转化为10进制；Q: 将立即数转化为16进制；B:将立即数转化为2进制。

19. IDA如何修改文件，IDA-》edit-》Patch program-》Assemble修改，然后 IDA-》edit-》Patch program-》Apply patches to input file即可得到修改后的pyd文件。

20. IDA当中出现_main endp ; sp-analysis failed如何分析。
    1.用Option->General->Disassembly, 将选项Stack pointer打钩；
    2.仔细观察每条call sub_xxxxxx前后的堆栈指针是否平衡；
    3.有时还要看被调用的sub_xxxxxx内部的堆栈情况，主要是看入栈的参数与ret xx是否匹配；
    4.注意观察jmp指令前后的堆栈是否有变化；
    5.有时用Edit->Functions->Edit function...,然后点击OK刷一下函数定义。