关于ELF 结构的三个误解

静态链接会把 libc 打进二进制，体积 800KB 起步，符号信息也完整得多

误解通常来自把「工具的输出」当成「结论」。

先说结论

保护只提高成本，反编译不等于源码。

• 保护：提高成本而非阻断
• 反编译：丢类型与意图
• 逆向：建模 + 验证
• 看运行时数据
• 先假设再取证

误解一：加了保护就没法看

程序头表决定加载时的内存映射，节区头表只在链接与调试时有意义，可以完全剥离。

保护提升的是成本，不是绝对阻断；运行时的数据是真的。

误解二：反编译结果等于源码

.plt 与 .got 支撑延迟绑定，函数第一次被调用时才把真实地址写进 GOT。

反编译丢的是类型、命名和意图，这三样恰恰最费时间。

误解三：读懂汇编就会逆向

静态链接会把 libc 打进二进制，体积 800KB 起步，符号信息也完整得多。

逆向的核心是建模：猜出原来的设计，再验证。

几个具体事实

下面这些是相对确定的细节：

• 静态链接会把 libc 打进二进制，体积 800KB 起步，符号信息也完整得多

怎么少走弯路

先建立「它应该怎么写」的假设，再去找证据。先看程序头表再谈其它，加载视图才是运行时的真相。

还有几处容易忽略的

这些细节不影响入门，但影响你判断的准确度。

• ELF 的入口是 _start 而不是 main，main 由 libc 的启动代码在初始化之后调用
• strip 只删掉符号表，字符串常量与调用结构依然可读，分析成本没有想象中高
• PIE 让装载基址随机化，但函数之间的相对偏移与调用关系完全不变，分析时按偏移定位而不是记地址
• 拿节区头表判断加载布局，遇到剥过的样本直接读不出
• 把 e_entry 当成 main，跟进去发现是启动代码
• 以为 strip 过的二进制就没法分析了

把工具输出当结论，是最贵的误解。