PE 结构能做到和做不到的

32 位与 64 位的调用约定不同，同一段逻辑反编译出来的可读性差别很大，先确认位数再选工具

任何分析手段都有边界，承认边界才能给出可靠的结论。

先说结论

能说清边界，结论才可信。

• 可观察：运行时数据
• 可推：结构与布局
• 不可得：原始源码
• 结论要带置信度
• 成本：影响面：决定分析入口；单个样本约 2-3 小时

能确定的

导入表只列静态依赖，用 LoadLibrary 加 GetProcAddress 拿到的函数在表里看不到，动态行为要另查。

凡是运行时会用到的数据，最终都能观察到。

只能推测的

节区名可以随意修改，把加密数据放进 .text 是很常见的做法，静态特征因此不可靠。

几个具体限制

下面这些是相对确定的细节：

• 资源节经常被用来藏载荷，样本体积与代码量对不上时先看 .rsrc

怎么给出可靠结论

结论要带置信度：确定、较可能、推测。PE 的关键是两套地址空间，搞混一次就会浪费半天。

还有几处容易忽略的

这些细节不影响入门，但影响你判断的准确度。

• PE 里的 RVA 与文件偏移是两套坐标，换算时必须过一遍 SectionAlignment，差一位就对不上
• 数字签名只覆盖特定区段，在末尾追加数据不一定破坏签名校验
• 32 位与 64 位的调用约定不同，同一段逻辑反编译出来的可读性差别很大，先确认位数再选工具
• 把文件偏移当 RVA 用，断点永远打不中
• 只看导入表就断定程序不联网，动态加载的调用没查
• 忽略资源节，样本体积对不上也不深究

承认做不到，是专业的一部分。