IDA Pro 9.5 正式版发布 - 支持更多平台，具备更强大的智能体能力

IDA Pro 9.5.261026 for macOS, Linux, Windows

A powerful disassembler, decompiler and a versatile debugger. In one tool.

请访问原文链接：https://sysin.org/blog/ida-pro-9/ 查看最新版。原创作品，严禁商业及个人盈利性网站转载。

作者主页：sysin.org

IDA 9.5 现已发布：支持更多平台，具备更强大的智能体能力

2026 年 10 月 26 日

IDA 9.5 现已发布：支持更多平台，具备更强大的智能体能力。

IDA 9.5 正式发布，这是迄今为止更新幅度最大的版本之一。

新增的三个反编译器分别支持 Android Dalvik、Infineon TriCore 和 Qualcomm Hexagon，大幅扩展了平台覆盖范围；Apple kernelcache 和 DriverKit 分析也取得了重大进展。AVX/SSE、Armv9、MIPS Release 6、WebAssembly 3.0、PowerPC 和 ARC 的支持也进一步增强。

Rust、Swift、Go 和现代 C++ 的反编译能力也有所改进，尤其是在原样保留名称和恢复独立位域方面；同时，递归反编译扩展至整个调用图，以揭示完整的子系统。

其他增强功能包括性能改进、错误修复、新增 Pathfinder 小组件、UEFI 加载器和插件、能够识别更多库函数的 FLIRT 2.0 签名、全面改进的名称反修饰器和解析器，以及 Domain API 升级。

在发布 IDA 9.5 的同时，Hex-Rays 还推出了三项面向智能体 AI 时代的重要配套功能：

IDA MCP 是 Hex-Rays 官方推出的高级 MCP 服务器，可将 IDA 连接到前沿大语言模型。与传统的函数调用式 IDA MCP 实现相比，Token 消耗量减少约 20%。
Assist 是专为逆向工程打造的 AI 工具框架，无需离开 IDA 即可提高分析人员的工作效率。它通过专用上下文、记忆和工具增强 AI 模型的能力。
IDA Pro Headless 支持大规模部署 AI 智能体集群，让各个智能体使用自己的许可证运行 IDA。该版本针对智能体工作负载进行了优化，内存占用更低、启动速度更快；更新后的许可证服务器还允许智能体获取或借用许可证，以便在流水线、虚拟机或沙箱中执行任务。

Hex-Rays 还在 IDA 9.5 发布之际推出了一款可选的 Malware Analysis 附加组件，使分析人员能够解包具有规避分析能力的二进制文件，在隔离的执行环境中逐步分析可疑代码，并直接从 VMRay 和 Speakeasy 等沙箱中导入运行时产物。

与此同时，IDA Home 9.5 在价格不变的情况下，将云端反编译器数量从 2 个增加到 11 个，并提供 70 多种反汇编器。

无论你分析的是 Android 应用、汽车 ECU (s)、DSP 固件还是 macOS 内核，IDA 9.5 都能帮助你减少处理复杂问题所花费的时间，将更多精力用于寻找答案。以下是本次更新的主要内容：

试用 IDA 9.5

探索 IDA 9.5 的新增功能

三个全新反编译器：Dalvik、TriCore 和 Hexagon

🛠️ Dalvik：将 Android 字节码反编译为 Java

IDA 现在可以将 Android DEX 字节码转换为 Java 伪代码。类、字段、方法和参数都是真正的实体：重命名或重新设置其中任意一项的类型，变更都会同步反映到所有视图中。

新的类视图是主要的工作界面，其呈现方式类似源代码：字符串拼接显示为 "a" + b，而不是一连串 StringBuilder 调用；嵌套类显示为 Outer.Inner；try/catch/finally 代码块也会得到重建。如果文件中仍然包含 Kotlin 元数据和调试信息，IDA 就能恢复原始名称；多个 DEX 文件组成的应用也会作为一个完整程序进行处理。

多 DEX 应用中的 Dalvik 类视图

🛠️ TriCore：汽车与工业固件

全新的 Infineon TriCore 反编译器同时支持 EABI 和 Tasking ABI 两类 ABI。指针参数能够通过地址寄存器识别出来，而 1.6 之前版本内核中的除法步骤指令序列也会被合并为一条清晰易读的除法运算。

🛠️ Hexagon：Qualcomm DSP 代码

Qualcomm Hexagon（QDSP6）反编译器能够处理 DSP 代码难以阅读的关键特性，包括数据包语义、硬件循环、谓词执行和复合分支。HVX 向量指令和系统指令会显示为采用 Clang 命名方式的内建函数，方便直接查阅。

Hexagon 反汇编与伪代码并排显示

让伪代码更接近源代码

🛠️ 终于可以清晰阅读位域

不再需要处理移位和掩码运算。定义好类型后，反编译器就会在所有受支持的架构上，将位域访问显示为普通的成员访问。原本占据整行代码的 MSVC 异或切换操作，现在可以直接显示为其原本的写法：

伪代码

// 9.4
*(_DWORD *)p ^= ((unsigned __int8)*(_DWORD *)p ^ (unsigned __int8)(*(_DWORD *)p + 1)) & 0xF;
// 9.5
++p->a;

🛠️ AVX、AVX2 和 AVX-512 不再需要 __asm 代码块

全新的 avxlifter 可以将向量代码转换为 C 代码和 _mm* 内建函数，而不再使用内联汇编。宽向量加载和存储会转换为普通赋值操作，打包逻辑会转换为 C 运算符 (y)，标量最小值/最大值运算和 FMA 也会转换为普通数学运算。

伪代码

// 9.4
__asm { vmovapd ymm0, ymmword ptr [rcx]; vaddpd ymm0, ymm0, ymmword ptr [rdx] }
// 9.5
return _mm256_add_pd(*m1, *m2);

🛠️ 更智能的 switch-case 恢复

对于编译器拆分为二分查找树的 switch 语句，IDA 现在能够将其重新组合起来，恢复真实的 case 标签、排序后的分支以及清晰的贯穿执行逻辑，而不是生成一连串 goto。反编译器现在会在所有架构上使用自己的数据流分析来查找跳转表，因此，即使反汇编器未能识别某些 switch 语句，也能将其恢复出来。

🛠️ 其他重要改进

分散的寄存器对： 在 32 位目标平台上，分布于顺序相反或不相邻寄存器中的 64 位值，现在会合并为一个变量。
跳转到函数指针目标： 在被调用的结构体成员上按 Enter 键，将跳转到该成员所指向的函数，而不是其声明位置。
寄存器变量拆分： 不再仅支持栈变量，也支持寄存器变量。
递归创建 C 文件： 导出一个函数及其所有被调用函数，并从最底层的被调用函数开始进行反编译，以生成更准确的函数原型。

正确分析 Apple kernelcache

IDA 9.5 对 Apple kernelcache 的支持，就像 IDA 9.4 对 dyld 共享缓存的改进一样。kernelcache 不再被视为一个庞大的 Mach-O 文件，而是按照其实际结构进行处理：由多个 KEXT 组成的集合。

KC Index： 浏览所有 KEXT，并按需映射它们，从内核开始。
重建 IOKit 类： 恢复类层次结构、虚函数表和虚方法，即使类型库中某些类只有前向声明，也能够处理。
类型化分配： 在 iOS 16、macOS 13 及更高版本中，IDA 会读取 kalloc_type 描述符，为内存分配恢复真实类型。
搜索整个缓存： 即使在经过剥离的缓存中，也可以跨所有 KEXT (s) 查找符号、字符串和地址，无论这些 KEXT 是否已加载。
解析 arm64e 虚调用： 经过身份验证的调用会获得指向其可能调用的方法的交叉引用。在完全映射的 kernelcache 中，92% 的此类调用都能显示被调用函数的名称。

DriverKit 驱动程序也能获得相同的处理：类、虚函数表和 IORPC 消息都会得到恢复和命名。在 macOS 26 的 DriverKit 共享缓存中，正确设置类型的类数量从 49 个增加到全部 599 个。

按需映射 KEXT 的 KC Index

固件、游戏主机与 Web

🛠️ UEFI：在一个数据库中分析完整固件映像

加载 SPI 闪存转储、Capsule 主体或固件卷后，全新的 UEFI 插件会自动完成基础分析工作。它会查找并设置 gBS 和 gRT 等服务表的类型，为协议命名，并将已知协议调用反编译为易读的代码：

伪代码

EFI_STATUS __fastcall DiskIoDxe(EFI_HANDLE ImageHandle, EFI_SYSTEM_TABLE *SystemTable)
{
  ...
  DiskIoDxe_gST = SystemTable;
  DiskIoDxe_gBS = SystemTable->BootServices;
  DiskIoDxe_gRT = SystemTable->RuntimeServices;
  v7 = DiskIoDxe_gBS->LocateProtocol(
         &DiskIoDxe_gEfiDevicePathUtilitiesProtocolGuid,
         nullptr,
         (void **)&DiskIoDxe_gEfiDevicePathUtilitiesProtocol);
  ...
  DiskIoDxe_mEfiDriverBindingProtocol.ImageHandle = ImageHandle;
  DiskIoDxe_mEfiDriverBindingProtocol.DriverBindingHandle = ImageHandle;
  v11 = DiskIoDxe_gBS->InstallMultipleProtocolInterfaces(
          &DiskIoDxe_mEfiDriverBindingProtocol.DriverBindingHandle,
          &DiskIoDxe_gEfiDriverBindingProtocolGuid,
          &DiskIoDxe_mEfiDriverBindingProtocol,
          &DiskIoDxe_gEfiComponentNameProtocolGuid,
          &DiskIoDxe_mEfiComponentNameProtocol,
          &DiskIoDxe_gEfiComponentName2ProtocolGuid,
          &DiskIoDxe_mEfiComponentName2Protocol,
          0);
  ...
}

新增的 UEFI 协议窗口会列出所有 install、locate 和 notify 操作，并通过交叉引用将协议调用关联到不同模块中的具体实现。

🛠️ 几分钟即可加载 WebAssembly 3.0 模块

现在可以加载使用垃圾回收、类型化引用、异常或 SIMD 的模块，包括 Kotlin/Wasm。大型模块的加载速度提高了数倍：一个大小为 27.8 MB、包含 68,069 个函数的模块，现在只需 1 分 17 秒即可加载，而此前几乎需要 40 分钟。

🛠️ 游戏主机及更多平台

PlayStation 3、Xbox 360、Wii U 和 PSP 二进制文件现在获得完善支持，涵盖从 ILP32 PowerPC 代码到采用 Xbox 360 XDK 命名方式的 AltiVec 内建函数。MIPS Release 6 在反汇编器和反编译器中均获得完整支持，Renesas RX 处理器模块现在也支持大端模式。

识别更多函数，保留真实名称

🛠️ FLIRT 2.0

传统 FLIRT 通过字节特征识别库函数，但不会记录这些函数的调用关系。FLIRT 2.0 签名还会记录每个库模块引用的内容，因此，一旦匹配到一个函数，IDA 就能为该函数调用的辅助函数命名，即使这些辅助函数本身没有可靠的签名也不例外。

改进效果十分显著。以下数据来自经过剥离、采用静态链接的 sqlite3：

运行库	9.4 中识别出的函数数量	9.5 中识别出的函数数量
glibc riscv64	288	933
glibc armhf	776	1,204
glibc amd64	1,279	1,846
MSVC /MT arm64	0	753
MSVC /MT arm	0	622

🛠️ 原样保留 Rust、Go 和 Swift 名称

IDA 不再将非 C 语言字符替换为下划线。runtime__ptr_Func_FileLine 现在会显示为 runtime.(*Func).FileLine，Rust 类型则显示为 &mut dyn core::fmt::Write。新建数据库默认显示反修饰后的名称。

IDA 9.4 中的 Go 符号
9.4 中的 Go 符号

IDA 9.5 中的 Go 符号
9.5 中的 Go 符号

🛠️ 更全面地支持现代编程语言

Swift： 字符串会在反汇编和反编译结果中进行解码，并显示在 Strings 窗口中。经过剥离的 Swift 二进制文件现在也能保留其调用约定和错误处理信息。
Go： 现在可以加载元数据损坏或经过混淆处理的二进制文件，包括使用 garble 混淆的文件，并支持 Go 1.27。
Rust： Rust ABI 现在支持 ARM、ARM64、MIPS、PowerPC 和 RISC-V，不再局限于 x86。

更流畅的日常工作流

HTML 导出： 可以将任意列表复制为保留颜色的 HTML，也可以导出独立或交互式页面 (i)，其中包含函数侧边栏和可用的交叉引用链接。非常适合编写报告、技术文章和分享分析结果。
交互式 Pathfinder： 可以在任意窗口中添加路径点和排除项，逐步构建分析路径。IDA 会显示连接两个路径点的函数数量和最短路径，并将路径保存到数据库中。
Jump Anywhere： 通过一个输入框即可查找函数、名称、字符串、类型、成员和枚举常量，并实时预览每项结果。
快速筛选： 在任意列表窗口中开始输入，即可立即筛选内容。
Qt 6.12 LTS： IDA 现在会跟随桌面的浅色或深色主题。
默认使用 Clang： 无需额外配置即可解析 C、C++、Objective-C 和 Objective-C++ 声明。

带有交叉引用图的 Pathfinder

更快、更可靠，轻松应对各种规模的任务

🛠️ Teams 和 Lumina

Teams 检出速度大幅提升：数据库现在会经过打包，以便并行解码。一个 9 GB 的数据库现在只需 0.3 秒即可完成检出，而此前需要 2.3 秒。新增的状态栏面板可以一目了然地显示当前工作区，Teams 和 Lumina 现在也统一整合到新的 Extensions 菜单中。

当 Lumina、许可证或 Vault 服务器出现异常时，IDA 会告知具体是哪台服务器发生故障以及原因，并且不再因等待已停止响应的服务器而冻结。

🛠️ 大型二进制文件

DWARF： 调试节现在采用内存映射方式处理，在分析一个 2.6 GB 的 C++ 二进制文件时，可节省约 2 GB 内存。
dyld 共享缓存： 对于一个 2.7 GB 的缓存，初始加载期间 UI 卡顿的总时长从超过 40 秒降至 8.1 秒。
反编译器： 一个包含单个基本块且拥有 5,506 条指令的函数，现在只需 148 秒即可完成反编译，而此前需要 2,929 秒。
恶意二进制文件： 新增限制措施，防止专门用于拖慢 IDA 速度的文件影响分析。

IDA Home 现在以相同价格提供 11 个云端反编译器和 70 多种反汇编器

从 IDA 9.5 开始，IDA Home 在价格不变的情况下，将云端反编译器数量从 2 个增加到 11 个，同时提供 70 多种反汇编器。除了 x86-32 和 x86-64，现在还可以反编译 ARM-32、ARM-64、MIPS-32、MIPS-64、PowerPC-32、PowerPC-64、RISC-V-32、RISC-V-64 和 Android DEX。

IDA Home 提供 70 多种处理器的反汇编支持和 11 种处理器的反编译支持 (n)，覆盖了业余爱好者和独立研究人员经常接触的平台，包括手机、路由器、嵌入式开发板、Android 应用等。无需升级或购买附加组件。

已经在使用 IDA Home？ 从 My Hex-Rays 下载更新后的许可证文件，并替换当前许可证，即可启用新增的反编译器。

新增附加组件：Assist 和 Malware Analysis

🛠️ Malware Analysis

这款附加组件专为恶意软件分析人员打造，提供一键解包、安全模拟执行可疑代码，以及直接在反汇编视图中显示沙箱结果等功能。减少环境配置所花费的时间，将更多精力用于了解威胁本身。

🛠️ Assist

Assist 是直接集成在 IDA 中、专为逆向工程打造的 AI 工具框架。它支持任何能力足够强大的 AI 模型，无论模型运行在本地还是云端，并将其与 IDA 自身的分析引擎、模拟执行功能和 SMT 求解器结合起来。由此生成的答案具有可解释性，能够供用户验证，甚至可以同时处理多个数据库。

🛠️ 另外：IDA MCP

IDA MCP 是一款由官方提供的开源 MCP 服务器，可将 AI 智能体连接到 IDA。它完全在本地运行，并且能够同时处理多个数据库。

本文仅介绍了部分新功能。完整发行说明涵盖了 IDA 各个部分的数百项改进和修复。

版本历史

Version History (GA only):

IDA 9.0.240925 September 30, 2024
IDA 9.0.20241216 (SP1) December 19, 2024
IDA 9.1.250226 Feb 28, 2025
IDA 9.2.250908 September 08, 2025
IDA 9.3.260213 February 13, 2025
IDA 9.3.260327 (SP1) March 27, 2025
IDA 9.3.260421 (SP2) April 23, 2025
IDA 9.4.260713 Jul 13, 2026
IDA 9.4.260714 Hotfix Jul 14, 2026
IDA 9.4.260915 (SP1) Sep 15, 2026
IDA 9.5.261026 October 26, 2026

支持的系统平台：

IDA 9.5 for macOS arm64 (Apple 芯片)

IDA 9.5 for macOS x64 (Intel 处理器)

IDA 9.5 for Linux arm64

IDA 9.5 for Linux x64

IDA 9.5 for Windows arm64

IDA 9.5 for Windows x64

请访问原文链接或者作者主页。

更多：HTTP 协议与安全

posted @ 2026-10-28 08:01 sysin 阅读(537) 评论(0) 收藏举报

刷新页面返回顶部

sysin