逆向工程从可获得的发布产物与行为出发，重建对程序的理解。需要分别判断三个目标：读出产物中保存的信息、解释特定功能、恢复开发者原来的源码。前两项取得进展，并不意味着第三项也能完成。
发布产物保留了哪些信息
不同产物保留的表示不同，分析方法也随之变化。
- JavaScript / Electron：ASAR 是归档格式，通常包含应用的 JavaScript 与资源；Electron 的文件 API 可以把它作为虚拟目录读取。归档本身不能作为代码已经不可读取的依据。额外加密、混淆或字节码化需要单独判断。Electron ASAR 文档
- .NET 托管程序集：PE 中通常包含 CIL 和描述类型、成员及签名的元数据，可以据此恢复结构和指令。这个结论适用于具备这些结构的托管程序集，不能直接推广到所有采用 .NET 技术构建的本机产物。Microsoft 元数据与自描述组件
- 原生机器码：反汇编和反编译器将指令转换为更便于阅读的表示。Ghidra 的反编译流程经过汇编、P-code 和 C 表示，汇编与 C 并非一一对应；类型和函数签名信息也会影响输出。Ghidra 反编译入门
由最后一点可以推得：生成可读伪代码，不足以证明恢复了原始源码。伪代码适合作为分析表示，仍需结合指令、数据和其他证据核验解释。
静态关系与运行时观察回答不同问题
静态分析回答产物中有哪些结构，以及分析器能推导出哪些关系；运行时观察回答选定环境、输入和观察窗口中发生了什么。
静态图上存在一条调用路径，不等于这条路径实际执行过。一次运行观察到调用，也不能证明所有输入都会如此；没有观察到某行为，只能说明本次观察没有覆盖它。这是从有限观察推导结论时的范围约束。
可迁移的调查流程是：选定功能问题 → 搜索入口线索 → 跟踪调用或数据关系 → 用适用的运行实验补充证据 → 重建实现并比较结果。每一步都保留尚未解决的动态目标和覆盖缺口。
广泛覆盖依赖组合，也受各工具边界限制
格式解析器读取结构，反编译器分析指令，运行工具采集行为，Agent 根据已有结果选择下一步问题。接入多种工具能扩大可调查目标的范围，但每个适配器的能力仍需分别核验：能识别一种格式、能读取部分元数据、能解释某个函数，是不同层次的支持。
复核分析结论时，至少保留目标内容身份、分析工具及版本、证据位置、观察或推导方式、已检查范围和未知项。内容摘要用于确认分析是否针对相同字节；它本身不证明工具解释正确。
功能重建需要独立验证
根据证据写出一个实现后，应比较相同输入下的输出、状态变化和边界情况。匹配的测试案例支持对应条件下的行为一致；它们不会自动建立所有输入上的等价，也不能证明代码与原作者的实现相同。
因此，评估逆向工具时应问“对这个目标和问题，现有证据能支持什么结论”，并区分格式覆盖、分析深度与验证范围。