逆向分析别只看反编译：静态假设要用动态证据复核

逆向分析别只看反编译：静态假设要用动态证据复核

反编译结果是工具对机器码的解释，不是原始源码。类型、控制流和变量名都可能被优化或混淆改变，演示里“看懂一个函数”不代表分析完成。

静态阶段

保存样本校验值、架构、入口和节区信息。先从导入、字符串、交叉引用和控制流提出假设，给关键地址命名时标注置信度。第三方或恶意样本只在授权隔离环境处理。

动态阶段

选择能区分假设的断点和输入，观察寄存器、内存与系统调用。调试器检测、时间相关行为和环境依赖可能改变路径，因此动态未命中也不能直接否定静态线索。

最终报告把事实、推断和未知分开，并附工具版本与复现步骤。这样另一位分析者可以从同一证据继续，而不是相信一张漂亮的反编译截图。