逆向工程是分解编译软件以理解其逻辑、行为和意图的过程，无需访问源代码。无论你是在分析恶意软件、审计闭源二进制文件还是研究 CTF 挑战，相同的核心工作流程都适用：先静态收集信息，然后动态验证假设。本指南通过实用且工具无关的步骤来介绍该工作流程，你可以立即应用。
建立安全的分析环境
在接触任何陌生的二进制文件之前，隔离你的工作空间。使用专用虚拟机，不与主机连接网络，在分析前创建快照，禁用共享文件夹和剪贴板同步。Linux 虚拟机配备 radare2、Ghidra、gdb 和 objdump 可覆盖大多数静态和动态需求，而配备 x64dbg 和 Process Monitor 的 Windows 虚拟机对于 PE 文件至关重要。永远不要在主机上分析可疑样本，在每次分析间隔后始终还原快照以避免交叉污染。
静态分析：不运行而读取
首先使用 file 和 readelf -h（Linux）或 PE 头检查工具（Windows）识别文件类型和架构。使用熵分析检查打包或混淆 — 使用 Detect It Easy 这样的工具可以标记出熵值异常高的段，这暗示存在压缩或加密。
接下来将二进制文件加载到 Ghidra 或 IDA Free 这样的反汇编器中。重点关注：
- 导入和导出 — API 调用如
CreateRemoteThread或VirtualAllocEx暗示进程注入；WSAStartup暗示网络相关功能。 - 字符串 — 运行
strings -n 8 binary可以发现硬编码的 URL、文件路径或调试信息，这些会揭示功能特性。 - 控制流图 — Ghidra 的反编译器视图可将原始汇编转换为可读的伪 C 代码，大大加快对循环和条件语句的理解。
当你理解各个函数时，为它们注释命名。将 sub_401020 重命名为 decrypt_config 可以立即使分析的其余部分更容易跟踪。
动态分析：观察其运行
静态分析只能让你走这么远，尤其是面对混淆或打包代码时。在调试器中加载二进制文件，在之前识别的可疑 API 调用处设置断点。在 x64dbg 中，在 VirtualAlloc 或 WriteProcessMemory 处中断通常会揭示解包例程，因为它们在执行前将解密代码写入内存。
使用 Process Monitor 或 Linux 上的 strace/ltrace 来实时记录文件、注册表和网络活动。这个外部视图补充了来自调试器的内部视图，通常会暴露在反汇编中难以发现的行为，如临时文件创建或 DNS 查询。
对于具有网络功能的二进制文件，在 Wireshark 或 INetSim 这样的虚假互联网模拟器旁边运行它们，以观察命令控制流量，而不让样本实际到达互联网。
处理反分析技巧
许多二进制文件 — 尤其是恶意软件 — 包含设计用于检测调试器、虚拟机或沙箱的检查。常见技术包括调用 IsDebuggerPresent、检查虚拟机特定的注册表键或测量执行时间以检测单步调试。当你在静态分析中发现这些检查时，可以在调试器中修补条件跳转以强制