符号恢复能做到和做不到的

错误的命名比没有命名更糟，它会让后来的人顺着错误假设一直读下去，不确定就标成 func_sub_xxx

任何分析手段都有边界，承认边界才能给出可靠的结论。

先说结论

能说清边界，结论才可信。

• 可观察：运行时数据
• 可推：结构与布局
• 不可得：原始源码
• 结论要带置信度
• 成本：影响面：决定分析效率；中型样本约 1-2 人日

能确定的

函数序言与控制流图形状，比字符串更可靠地指示编译器类型与优化级别，字符串反而容易被混淆。

凡是运行时会用到的数据，最终都能观察到。

只能推测的

错误信息与日志格式串经常直接暴露函数用途，是最便宜的信息来源，前提是没被裁掉。

几个具体限制

下面这些是相对确定的细节：

• C++ 的 RTTI 与虚表结构能还原类层次关系，前提是编译时没有关掉 RTTI

怎么给出可靠结论

结论要带置信度：确定、较可能、推测。符号恢复的目标是「读得下去」，不是「还原成源码」。

还有几处容易忽略的

这些细节不影响入门，但影响你判断的准确度。

• 识别出库函数能消掉六成以上的符号，剩下的才是需要人读的业务逻辑，值得逐行看
• 命名要立刻回填到调用图里，否则第二天就忘了当初为什么叫这个名字
• 看到一个像 md5 的常量就把函数命名成 md5_update
• 只在大函数上花时间，忽略了小工具函数
• 改完名字不写备注，交接时全部推倒重来

承认做不到，是专业的一部分。