逆向分析中恢复未知函数符号：用字符串、Magic…

适用于只有反编译代码、字符串表、导入导出表和调用关系时，推断未知函数名称与用途。

适用场景

解决思路

1. 确认 IDA 访问方式：若 IDA Pro MCP 服务器已连接（存在活跃的 `ida-pro` 或等价 MCP 连接），直接通过 MCP 工具查询 IDA，无需导出文件，并继续分析。
2. 若 MCP 未连接，检查当前目录是否存在 IDA-NO-MCP 导出数据：检查 `decompile/` 目录是否存在，并检查其中是否有 `.c` 文件。
3. 若 MCP 和导出数据都不可用，提示用户选择：方案 A 连接 IDA Pro MCP；方案 B 下载 https://github.com/P4nda0s/IDA-NO-MCP，将 `INP.py` 复制到 IDA 插件目录，在 IDA 中按 `Ctrl-Shift-E` 导出，然后用 Claude Code 打开导出目录。
4. 使用导出目录结构：读取 `decompile/` 中按十六进制地址命名的每个函数 `.c` 文件；参考 `decompile_failed.txt`、`decompile_skipped.txt`、`strings.txt`、`imports.txt`、`exports.txt`、`memory/`（1MB 分块 hexdump）。
5. 读取函数 `.c` 文件头部的元数据注释：`func-name`、`func-address`、`callers`、`callees`。
6. Step 1：分析目标函数内部特征，检查字符串常量，字符串可能揭示函数用途。
7. 检查数字常量/Magic Numbers：识别 MD5 常量 `0x67452301`、`0xEFCDAB89`、`0x98BADCFE`、`0x10325476`；CRC32 `0xEDB88320`；Base64 字符集 `ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789+/`；AES S-Box `0x63, 0x7C, 0x77, 0x7B...`；Zlib 头 `0x78`、`0x9C`；以及其他常量/magic numbers。
8. 检查代码结构：循环模式、位运算、特定算法流程。
9. 若通过常量/结构识别出已知算法，直接告诉用户。
10. Step 2：分析交叉引用——分析 callees（被调用函数）：读取 `callees` 列表中的函数。
11. 对每个 callee，检查其地址是否存在于 `imports.txt`。
12. 即使缺少符号也识别配对函数模式：`malloc/free`、`new/delete`、`alloc/dealloc`，例如 `xx = sub_A(0x100); ... sub_B(xx);`。
13. 识别配对函数模式：`mutex_lock/mutex_unlock`、`pthread_mutex_lock/unlock`，例如 `sub_A(lock_ptr); ... sub_B(lock_ptr);`。
14. 识别配对函数模式：`open/close`、`fopen/fclose`、`CreateFile/CloseHandle`，例如 `fd = sub_A("/path", 0); ... sub_B(fd);`。
15. 识别配对函数模式：`pthread_create/pthread_join`，例如 `sub_A(&tid, 0, func, arg); ... sub_B(tid, &ret);`。
16. 参数模式识别：`socket(AF_INET, SOCK_STREAM, 0)` 对应 `sub_XXX(2, 1, 0);`。
17. 参数模式识别：`connect/bind(sockfd, addr, addrlen)` 对应 `sub_XXX(fd, &var, 16);`，IPv4 地址结构长度为 16。
18. 参数模式识别：`memcpy/memmove(dst, src, size)` 对应 `sub_XXX(dst, src, n);`。
19. 参数模式识别：`memset(ptr, value, size)` 对应 `sub_XXX(ptr, 0, 0x100);`。
20. 参数模式识别：`read/write(fd, buf, count)` 对应 `ret = sub_XXX(fd, buf, n);`。
21. 参数模式识别：`strcmp/strncmp(s1, s2)` 或 `(s1, s2, n)` 对应 `if (sub_XXX(s1, s2) == 0)`，返回 0 表示相等。
22. 返回值模式识别：文件/socket 操作 `if ((fd = sub_XXX(...)) == -1) goto error;`。
23. 返回值模式识别：内存分配 `if (!(ptr = sub_XXX(size))) goto error;`。
24. 返回值模式识别：成功/错误 `if (sub_XXX(...) != 0) goto error;`。
25. 返回值模式识别：`strlen` 对应 `len = sub_XXX(str); sub_YYY(dst, src, len);`。
26. 分析 callers（调用者）：读取 `callers` 列表中的函数。
27. 若 caller 有符号（检查 `exports.txt`），根据上下文推断 callee 的用途。
28. 递归检查：沿调用链向上追溯，直到找到带符号的函数。
29. 分析 caller 如何使用返回值。
30. Step 3：信息收集——收集函数中的字符串（在 `strings.txt` 中查函数内使用的地址）。
31. 收集 Magic Numbers / 常量。
32. 收集已调用的已知 imports（将 callees 与 `imports.txt` 交叉引用）。
33. 从 `exports.txt` 收集 caller/callee 符号。
34. 收集已识别的配对函数模式。
35. 基于收集信息，首先尝试本地推理：根据函数签名（参数数量和类型）。
36. 本地推理：根据配对调用模式（alloc/free、lock/unlock）。
37. 本地推理：根据调用链中的已知 imports。
38. 本地推理：根据代码结构与已知算法的相似性。
39. 若不确定，使用 Web Search 搜索 Magic Numbers，例如 `0x67452301 0xEFCDAB89 algorithm`。
40. Web Search 搜索代码模式，例如 `rotate left xor constant algorithm`。
41. Web Search 搜索函数中发现的唯一字符串。
42. Web Search 搜索参数模式，例如 `function(int, int, 0) socket`。
43. 按指定格式输出： ## Symbol Recovery Analysis: <function_address> ### Function Characteristics - Strings: <list discovered strings> - Constants: <list key constants> - Called imports: <list> ### Cross-Reference Analysis - Callers: <callers and their symbols> - Callees: <callees and their symbols> ### Inference Result - **Suggested symbol name**: <suggested_name> - **Confidence**: High / Medium / Low - **Reasoning**: <explain why this name is suggested> ### Similar Open Source Implementation - <if similar open source code is found, provide link>

适用边界 · 注意事项

• 未连接 IDA Pro MCP 且没有 IDA-NO-MCP 导出目录时无法使用；必须先满足访问方式。
• 函数未反编译、缺少 strings/imports/exports 或交叉引用数据时，推断准确率低。
• 推断出的符号名不是已验证事实，不应直接作为最终命名，需人工复核或动态调试确认。