关于符号恢复的三个误解

C++ 的 RTTI 与虚表结构能还原类层次关系，前提是编译时没有关掉 RTTI

误解通常来自把「工具的输出」当成「结论」。

先说结论

保护只提高成本，反编译不等于源码。

• 保护：提高成本而非阻断
• 反编译：丢类型与意图
• 逆向：建模 + 验证
• 看运行时数据
• 先假设再取证

误解一：加了保护就没法看

函数序言与控制流图形状，比字符串更可靠地指示编译器类型与优化级别，字符串反而容易被混淆。

保护提升的是成本，不是绝对阻断；运行时的数据是真的。

误解二：反编译结果等于源码

错误信息与日志格式串经常直接暴露函数用途，是最便宜的信息来源，前提是没被裁掉。

反编译丢的是类型、命名和意图，这三样恰恰最费时间。

误解三：读懂汇编就会逆向

C++ 的 RTTI 与虚表结构能还原类层次关系，前提是编译时没有关掉 RTTI。

逆向的核心是建模：猜出原来的设计，再验证。

几个具体事实

下面这些是相对确定的细节：

怎么少走弯路

先建立「它应该怎么写」的假设，再去找证据。符号恢复的目标是「读得下去」，不是「还原成源码」。

还有几处容易忽略的

这些细节不影响入门，但影响你判断的准确度。

• 识别出库函数能消掉六成以上的符号，剩下的才是需要人读的业务逻辑，值得逐行看
• 命名要立刻回填到调用图里，否则第二天就忘了当初为什么叫这个名字
• 错误的命名比没有命名更糟，它会让后来的人顺着错误假设一直读下去，不确定就标成 func_sub_xxx
• 看到一个像 md5 的常量就把函数命名成 md5_update
• 只在大函数上花时间，忽略了小工具函数
• 改完名字不写备注，交接时全部推倒重来

把工具输出当结论，是最贵的误解。