全局变量的识别：
全局变量是存储在内存某个位置，在IDA中有一个变量名，OD动态调试的时候将会以完整地址传入。
数组与结构识别：
指针与栈偏移的识别：
对于认识清楚函数参数时，很难的了解的就是指针的使用，例如：
copy((&v62)[v17], *(&v62)[v36])
mov eax, [ebp+eax*4+v62] //对应的部分汇编代码中 [XXXX]表示取值 eax*4暗示字节数
其中v62为栈上的一个元素，所以(&v62)[v17]获取到的是与v62偏移v17的栈位置的值，再分析的时候需要和汇编代码进行比较，如果可以的话，动态调试处理更佳。
数据字节数
要注意运算中使用的数据字节数，当只用了一个字节进行运算，则结果需要取0xFF的模，8个二进制位称为1个Byte（字节） ，在IDA中数据类型 byte,word,dword用(db,dw,dd)对应标记。在64位的程序中还有signed_int64的数据类型（例如0x201324CCECD82A25LL）占据8字节。因为不同字节数的操作不一样，由于限制操作数的字节数，则一些汇编指令将隐含取模的操作，并且获取的数据值与数量也就不一样，这些都需要正确处理。
注意：有无符号（unsigned）并不改变占据的字节数，只是数据表示的值不一样而已。
部分常见字节数据类型
__int64、 long long、 double 8个字节
_DWORD 、 int unsigned int dd 4个字节 比如：0xEFBEADDE
_WORD 、 __int16 、short 、 wchar_t dw 2个字节 比如：0xEFBE
_BYTE 、char 、 signed char 、unsigned_int8 db 1个字节 比如：0xEF
数据表示方法：
Octal：八进制；Decimal：十进制；Hex：16进制 ； char：以字符的方式展现（ASCII转换）
LL：长长整型数
可以根据实际的含义，修改数据的表示方式，如字符，数组之类的。建议在进行异或等类似位操作使用16进制方便分析。
数据处理简化：
一些时候我们会发现有很多的位操作如：
(signed __int64)(signed int)(((((unsigned int)((unsigned __int64)j >> 32) >> 27)
当“j”的范围是【0,0xFF】时候，上述操作最终的结果只是0
或者，比如如下的冗余计算：
(((unsigned int)((signed int)(v4 + 1) >> 31) >> 24) + v4 + 1)- ((unsigned int)((signed int)(v4 + 1) >> 31) >> 24)
其中的((unsigned int)((signed int)(v4 + 1) >> 31) >> 24一长串只是一个冗余操作，简化就是v4+1
如果使用python进行处理的时候，可以使用取模的方式来表示复杂的C形式格式转换。
逆向工具使用的Tips：
IDA有些时候找不到函数的结尾而不能进行F5的操作，此时提示有positive esp，只需要在提示的地址处设置为undefined，之后整个函数可以实现F5操作。
IDA的F5只能在函数下执行，在一些地方可以右键强制创建函数再F5。
OD修改一些代码并dump出来，就能消除一些不重要的限制点。在IDA的HEX面板下也可以修改内存来变化流程。
OD调试可能会因为ASLR的原因而导致程序调试干扰，可以修改Image-dllcharacteristics-dynamic-base为8100，即可。
在OD可以修改EIP调整运行流程，例如运行完0040111F后，想修改EIP，在（CPU区域右键有个New origin here选项就是EIP跳转功能）可直接跳转到00401136。
分析工具都提供修改或增加评论的方式记录我们的分析产物，合理利用。
