协议逆向：结构决定了一切

先找长度字段与魔数，协议的边界通常就由这两个东西定义，它们常在前 16 个字节里，先按这个假设试

逆向的第一课不是工具，是「这个东西本来该长什么样」。

先说结论

结构读对了，一半的问题自己会消失。

• 先看头部：格式与位数
• 再看段表：布局与对齐
• 入口点不等于 main
• 重定位影响静态地址
• 交叉验证：protobuf 不带字段名，只能从 wire type 与取值分布反推每个字段的语义

先看骨架

固定位置每次加一的字段多半是序号，用来做去重与重放判断，序号跳变通常说明丢了包，重放会直接失效。

结构对了，字段名可以慢慢猜；结构错了，猜对也是错的。

关键字段

改一个字节看对端是断连还是返回错误，比读代码更快确定字段含义，但别在生产上改，最好在实验环境。

几个具体细节

下面这些是相对确定的细节：

• protobuf 不带字段名，只能从 wire type 与取值分布反推每个字段的语义
• 载荷被压缩或加密时，要先确认能否绕过这一层，再谈字段级解析

常见的读错方式

抓一次包就定下协议，漏掉所有可变长字段。

把校验和当成加密，花两天时间找密钥。

怎么验证自己读对了

用一个已知的工具交叉验证：协议逆向是实验科学：假设、改包、看反应，循环到能预测为止。

还有几处容易忽略的

这些细节不影响入门，但影响你判断的准确度。

• 把解析脚本写成可回归的测试用例，换版本时能立刻发现字段定义变了
• 忽略大小端，字段值总是差 256 倍

逆向不是猜，是核对。