符号恢复：结构决定了一切

识别出库函数能消掉六成以上的符号，剩下的才是需要人读的业务逻辑，值得逐行看

逆向的第一课不是工具，是「这个东西本来该长什么样」。

先说结论

结构读对了，一半的问题自己会消失。

• 先看头部：格式与位数
• 再看段表：布局与对齐
• 入口点不等于 main
• 重定位影响静态地址
• 交叉验证：C++ 的 RTTI 与虚表结构能还原类层次关系，前提是编译时没有关掉 RTTI

先看骨架

函数序言与控制流图形状，比字符串更可靠地指示编译器类型与优化级别，字符串反而容易被混淆。

结构对了，字段名可以慢慢猜；结构错了，猜对也是错的。

关键字段

错误信息与日志格式串经常直接暴露函数用途，是最便宜的信息来源，前提是没被裁掉。

几个具体细节

下面这些是相对确定的细节：

• C++ 的 RTTI 与虚表结构能还原类层次关系，前提是编译时没有关掉 RTTI
• 命名要立刻回填到调用图里，否则第二天就忘了当初为什么叫这个名字

常见的读错方式

看到一个像 md5 的常量就把函数命名成 md5_update。

只在大函数上花时间，忽略了小工具函数。

怎么验证自己读对了

用一个已知的工具交叉验证：符号恢复的目标是「读得下去」，不是「还原成源码」。

还有几处容易忽略的

这些细节不影响入门，但影响你判断的准确度。

• 错误的命名比没有命名更糟，它会让后来的人顺着错误假设一直读下去，不确定就标成 func_sub_xxx
• 看到一个像 md5 的常量就把函数命名成 md5_update
• 改完名字不写备注，交接时全部推倒重来

逆向不是猜，是核对。