IDA Pro加载C++插件必须匹配架构和SDK版本，90%失败源于二者不匹配；需用file或DumpBin确认位宽，SDK头文件须来自目标IDA的sdk/目录，Windows下须用同版本MSVC工具链编译。
IDA Pro 加载 C++ 插件必须匹配架构和 SDK 版本
插件加载失败，90% 是因为架构或 SDK 不匹配。x64 版 IDA Pro 绝对无法加载 x86 的 .dll，哪怕只差一个位宽；同样，IDA 7.7 的 SDK 编译的插件，在 IDA 8.0 下大概率 init 函数返回 PLUGIN_SKIP 或直接静默忽略。
关键检查点：
- 用
file命令（Linux/macOS）或DumpBin /headers（Windows）确认插件是 x64 还是 x86 - 插件源码中
#include "ida.hpp"对应的 SDK 头文件必须来自目标 IDA 安装目录下的sdk/子目录 - Windows 下必须用与 IDA 同版本的 MSVC 工具链（IDA 7.5+ 默认 VS2019，VS2022 编译的插件会因 ABI 不兼容而崩溃）
- 插件文件名不能含空格或中文，否则 IDA 日志只显示
failed to load，不报具体原因
Python 脚本调用 C++ 函数时内存和线程要手动兜底
IDAPython 可以 import 自己写的 C++ 扩展模块，但 Python 解释器不管理 C++ 分配的内存，也不保证线程安全——这是最常被忽略的两个坑。
实操建议：
立即学习“C++免费学习笔记（深入）”；
- 导出函数返回值尽量用
int、size_t或固定长度数组（如char[256]），避免std::string或std::vector；否则 Python 拿到的是裸指针，析构责任完全在 C++ 侧 - 若需返回动态字符串，C++ 侧用
malloc分配，Python 侧用ctypes.string_at读取后立刻libc.free，否则内存泄漏 - 所有调用 IDA API（如
get_name、get_func）的 C++ 代码，必须包在ida_kernwin.execute_sync里，否则多线程脚本可能触发断言或崩溃 - demangle 场景优先用 IDA 自带的
demangle_name，它已适配符号缓存；别直调UnDecorateSymbolName或__cxa_demangle
ida_medigate 插件部署失败，90% 是路径和日志配置问题
ida_medigate 不是复制一个文件就能用的插件，它的 Python 主模块和入口脚本必须放在不同位置，且默认日志路径不存在时会静默失败。
典型错误现象：
- 菜单里看不到插件项，
File → Script file…也找不到medigate_cpp_plugin.py→ 检查是否放到了plugins/目录下（不是根目录） - 插件能加载但解析类结构时报错，日志提示
Permission denied或No such file→ 默认日志路径D:/tmp/cpp_plugin.log不存在，需手动创建目录并 touch 文件 - 插件报
ModuleNotFoundError: No module named 'ida_medigate'→ 主模块没放进 IDA 的python38\Lib\site-packages\，而是错放到plugins/或用户 Python 环境 - 解析虚表时字段全为空 → 样本未带调试信息（Clang 缺
-grecord-gcc-switches，MSVC 64 位缺 PDB），此时应先用idc.get_type检查原始类型字符串是否可读
C++ 类结构还原失败，本质是 IDA 类型系统能力边界问题
不是你插件写错了，也不是 IDA 崩了，而是某些 C++ 特性超出了 IDA 当前对调试信息的解析能力。比如 Clang 编译的二进制若没嵌入完整的 DWARF4，ida_typeinf 就拿不到成员函数参数类型，get_tinfo 返回空。
绕过方法：
- 看到
*(int*)(a1 + 0x20)这类硬编码偏移，先定位构造函数或operator new调用，从分配大小反推结构体尺寸（如operator new(0x60)→ 创建0x60字节结构体） - 虚函数调用识别：找
mov rax, [rdi]+call [rax + 0x18]这类模式，[rdi]是 vtable 指针，0x18是虚函数索引，据此手工补 vtable 结构 - 多重继承场景下，
this指针在不同函数里可能指向不同偏移，需结合交叉引用和成员访问模式（如某函数总用[rdi + 0x10]访问字段）来推断基类布局 - IDA 的
Shift+F1结构体窗口里右键Add struct type后，必须手动按实际偏移填字段，不能依赖自动识别
