c++oding="utf-8" ?>
ghidra 反编译 c++ 二进制需关注符号保留、abi 差异与 stl 类型还原：未 strip 且含 dwarf 时可恢复类型；须手动识别 vtable、添加 this 参数、导入对应类型库，并确认编译器/标准库版本及 abi 布局。
用 Ghidra 打开 C++ 二进制文件前，先确认符号和编译信息是否还在
Ghidra 本身不区分 C 还是 C++，它解析的是 ELF/PE/Mach-O 这类格式。但 C++ 的名字修饰（name mangling）、RTTI、异常表、vtable 布局这些特性，会直接影响反编译可读性。如果原始二进制没 strip 过，且编译时加了 -g 或保留了 DWARF，Ghidra 能恢复大量类型和函数名；反之，_ZStlsIcSt11char_traitsIcESaIcEERSt13basic_ostreamIT_T0_ES7_RKSt7__cxx1112basic_stringIS4_S5_T1_E 这种符号就只能靠手动 demangle 或脚本辅助。
实操建议：
- 用
file和readelf -S（Linux）或objdump -h快速看是否有.debug_*、.eh_frame、.gnu_debuglink段 - 若用 GCC 编译，检查是否启用了
-fno-exceptions或-fno-rtti—— 这会让 Ghidra 无法识别虚函数调用和 dynamic_cast - Windows 下的 MSVC 二进制，优先加载对应版本的 PDB（如果有的话），Ghidra 支持通过
File → Load File → PDB导入
Ghidra 中 C++ 类成员函数识别失败的常见原因
Ghidra 默认按“平坦地址空间”分析，不会自动聚合成 class、识别 thiscall 约定或还原 vtable。你看到的 FUN_00102a30 很可能是一个成员函数，但 Ghidra 不知道它属于哪个类、有没有隐式 this 参数。
实操建议：
- 手动给函数签名加
this参数：右键函数 →Edit Function Signature→ 在参数列表开头插入类型为MyClass *的参数，名称填this - vtable 通常是一组函数指针数组，位于 data 段。找到疑似 vtable 的地址后，右键 →
Create Structure，然后逐个字段设为undefined *，再批量重命名成func_xxx，最后用Apply Data Type关联到对应函数 - 启用
Decompiler Parameter ID分析器（在Analysis → Auto Analyze中勾选），它能根据调用上下文推测部分this参数，但对 heavily optimized 代码效果有限
如何让 Ghidra 正确还原 C++ std::string / std::vector 等模板实例
Ghidra 不自带 STL 类型定义，也不会自动把 std::__cxx11::basic_string 映射到可读结构。你看到的常是连续几个 undefined8 字段，而实际可能是 char* + size_t + size_t 的小字符串优化布局。
实操建议：
- 导入官方提供的
gcc_linux.dat或msvc_x64.dat类型库（路径一般在Ghidra/Features/Base/data/typeinfo/），里面含基础 STL 定义 - 手动创建结构体：比如为 libstdc++ 的
std::string新建结构，字段依次为char * _M_dataplus、size_t _M_string_length、size_t _M_capacity（具体字段名需对照你所用 STL 版本的头文件） - 遇到
std::vector<int></int>，别直接当成int *—— 先查其内存布局（通常为int *+size_t+size_t），再用Data → Create Structure绑定，否则 decompiler 会把后续字段全错位
逆向 C++ 时最容易忽略的 ABI 差异点
同一个 std::string，GCC 11 和 Clang 14、libstdc++ 和 libc++、x86_64 和 aarch64，内存布局可能完全不同。Ghidra 不做 ABI 推断，你按错的结构去 cast，decompiler 输出就是一堆乱指针加偏移计算。
实操建议：
- 先确认目标二进制的编译器和标准库：用
strings搜GLIBCXX、LIBCXX、clang version等字符串 - 在 Ghidra 中设置正确语言：新建项目时选
x86:LE:64:default还是x86:LE:64:default:gcc？后者会启用 GCC 特有调用约定和结构对齐规则 - 不要依赖 “自动识别 STL” —— 即使开了
Demangler分析器，它只改函数名，不改数据结构。字段级还原必须人工核对源码或 ABI 文档
ABI 细节藏得深，比如 std::string 小字符串优化（SSO）下，23 字符以内数据直接存在对象体内，超过才 malloc；这个阈值在不同实现里是 15、22 还是 23，不查清楚就硬猜，后面所有字符串提取都会出错。
C++免费学习笔记（深入）：立即使用
在学习笔记中，你将探索 C++ 的入门与实战技巧！
