怎么看符号恢复：观察顺序

函数序言与控制流图形状，比字符串更可靠地指示编译器类型与优化级别，字符串反而容易被混淆

观察顺序错了，会在一堆细节里迷失。正确的顺序是：每层只问一个问题。

先说结论

每层只回答一个问题，才不会乱。

• 文件层：做什么
• 加载层：放哪里
• 运行层：怎么走
• 先看字符串与导入
• 有假设再下断点

三层各问什么

函数序言与控制流图形状，比字符串更可靠地指示编译器类型与优化级别，字符串反而容易被混淆。

先看字符串和导入

错误信息与日志格式串经常直接暴露函数用途，是最便宜的信息来源，前提是没被裁掉。

字符串和导入表是成本最低的线索，能省掉大量反汇编时间。

几个具体线索

下面这些是相对确定的细节：

• C++ 的 RTTI 与虚表结构能还原类层次关系，前提是编译时没有关掉 RTTI

什么时候下断点

等你已经能写出「它大概会调用哪个函数」的假设，再下断点验证。符号恢复的目标是「读得下去」，不是「还原成源码」。

还有几处容易忽略的

这些细节不影响入门，但影响你判断的准确度。

• 识别出库函数能消掉六成以上的符号，剩下的才是需要人读的业务逻辑，值得逐行看
• 命名要立刻回填到调用图里，否则第二天就忘了当初为什么叫这个名字
• 错误的命名比没有命名更糟，它会让后来的人顺着错误假设一直读下去，不确定就标成 func_sub_xxx
• 看到一个像 md5 的常量就把函数命名成 md5_update
• 只在大函数上花时间，忽略了小工具函数
• 改完名字不写备注，交接时全部推倒重来

观察的顺序，决定了效率。