在分析那些经过了授权的C++程序时，很多人会习惯性地把IDA Pro反编译出来的代码当成原始的源码来读，但这样做其实是不对的，反编译器的功能是把机器码重新转换成一种看起来很像C语言风格的伪代码，有了这些伪代码，分析人员再去理解程序里的控制走向、函数相互之间的调用关系，以及数据是怎么被访问的，就会方便很多。不过，IDA Pro反编译C++源代码这件事，它到底能把原来的代码还原到什么样的一个程度，往往并不是一个固定的答案，它跟二进制文件里有没有留下调试用的符号、编译器那边开了什么级别的优化，还有程序当中继承关系的复杂程度，这几个因素都有很大的关系。至于面对反编译出来的结果，要怎样才能把里面那些C++的类结构给辨认出来，一般是得结合着虚函数表、构造函数、this指针，以及成员变量固定的地址偏移量，一步跟着一步地去整理才行。在操作的时候，用来显示伪代码的那个窗口是通过按一下【F5】键来打开的，按完了之后，还可以再用【Tab】键，在伪代码和底层的反汇编指令视图之间，来回地进行切换，非常方便。

　　一、反编译C++的源码到底能还原到一个怎样的程度

　　用反编译器得出来的那一套结果，更适合当作是去理解程序逻辑的一种辅助手段，如果想着直接把它们复制下来，拼成一个能重新编译的工程，基本上是不太现实的，因为程序经过编译器那一层层优化之后，原本在源码里写的很多结构，都已经被编译器给改写了，反编译器看到的，其实已经是被优化改动过的样子了。

　　1、函数的控制流程，大部分还是可以看懂的

　　通常在伪代码里面，能比较清楚地看到像条件判断、循环结构、函数的返回值，还有最常见的那些函数调用，只要程序本身没有被刻意地混淆过，顺着这些调用链一层层往下跟，要判断某个功能大概是怎么跑的，一般不是太难的事情。

　　2、变量原本的名字，一般情况下是没办法直接还原的

　　当二进制文件里没有把调试符号带上的时候，出现在伪代码里的局部变量，名字往往是v1、v2、a1这样很生硬的代号，程序在源码阶段给变量起的那些有意义的名称、写下的注释、定义过的宏，还有头文件那一整块拆分的方式，这些东西通常是不会被反编译过程保留的，只能靠分析的人自己，根据变量的用途去手工改一个合适的名字。

　　3、类的结构最多只能被还原出一部分

　　如果程序里的继承关系比较简单，那么虚函数还有虚函数表这类东西的特征，就显得特别清楚，IDA有能力去识别出一种有着特殊命名的__vftable字段，然后借助它来处理虚函数表之间的关联。但是那些用到了复杂模板的代码、多重继承，还有被编译器塞了大量内联函数的类，光靠软件自动识别肯定是不够的，许多时候仍然要依靠人来分析。

　　二、反编译C++源码之后，该怎么去判断里面的类结构

　　判断类结构的时候，不要只是被伪代码表面的那一层样子给带着走，因为真正比较可靠的线索，通常是从对象的初始化过程、虚表被写入的时机，还有那些按照固定偏移去访问成员变量的地方，一点一点暴露出来的。

　　1、记得先把跟RTTI相关的分析功能给打开

　　在跟分析有关的设置里面，找到“启用RTTI分析”这一项，确认一下它是不是已经被勾上了，IDA会去试着识别程序当中留下的C++运行时类型信息，然后把这些信息补充到分析的结果里去，要是二进制的文件原本就保留着RTTI，根据它去把类名字和继承关系给理顺，就会省掉很多力气。

　　2、试着从构造函数里面去把虚函数表给找出来

　　构造函数在给对象做初始化的时候，常常会在对象空间的最开始位置上，把虚函数表的地址给写进去，而析构函数呢，也经常会对这同一张虚表再做一次访问，只要抓住了这类写入的动作，再回过头去翻一翻交叉引用，就可以慢慢地把属于同一个类的那些方法，一个一个地圈出来了。

　　3、顺着this指针去把成员变量理一理

　　在成员函数里面，去读写成员变量的时候，很多情况下都是通过this指针加上一个固定的偏移来进行的，要是发现在很多地方，偏移量为8的这个位置，反反复复被当成一个状态值来读取，而偏移量为16的位置，又一直被当作一个指针来使用，那就可以先用结构体的字段把这些偏移给占住，然后再根据它们真实的用途，去换成更看得懂的名字。

　　三、在整理类结构的过程中，要怎样去一步步复核

　　当把类结构推断得差不多的时候，要记得把这些判断出来的结果，写回到IDA的数据库里面，这样后面生成的伪代码就会越来越清楚，那些成员偏移量，也不会再仅仅是几个干巴巴的数字了。

　　1、利用Local Types把结构体给建立起来

　　从菜单中打开Local Types这个视图，就可以在里面新建自己需要的结构体、枚举，还有联合体，Local Types这个窗口，是用来集中管理当前数据库里那些自定义类型的，所有跟类结构有关的信息都可以放在这里。

　　2、再把对象指针转换成结构体指针对齐

　　当在伪代码里面看到了一个很像是this指针的东西，就可以用指针转换相关的功能，把它关联到刚刚才建好的那一个类型上面去，IDA提供了“转换为结构体指针”和“创建新的结构体类型”这样的操作，用起来很方便，就可以一步接一步地把对象的字段给整理清晰。

　　3、靠着交叉引用反复地去验证

　　每往结构体里面新添一个字段，都要立刻去看看，到底有哪些函数去读或写了这个偏移位置，只有等到有好几个不同的调用点，都能互相印证同一个结论的时候，才适合放心地把这个字段命名为config、buffer、state或者handler之类的明确名字。

　　4、对于还没有把握的关系，先留着标记

　　如果碰到某个字段，暂时还吃不准它是干什么用的，那就可以先把它写成field_10这样的形式，并且另外写上一句注释，因为对类结构的分析，往往需要反反复复修正好几轮，要是过早地把结论写死了，后面再想调整，就很容易把前面的判断也一起带偏。

　　总结

　　整体来说，IDA Pro在对C++的源代码做反编译的时候，能把控制流程、函数的调用、一部分的类型还有对象的访问方式给还原出来，不过想把原始源码里的命名、注释、复杂的模板关系和整个工程的目录结构给完整恢复出来，那是做不到的。