静态反汇编：线性算法与递归向下算法

在静态反汇编中，线性反汇编（Linear Disassembly）和递归反汇编（Recursive Disassembly）是两种最核心的指令解析算法。它们的根本区别在于：如何区分代码和数据，以及如何确定下一条待解析指令的位置。

对比维度	线性反汇编	递归反汇编
解析策略	从起始地址开始，逐字节顺序解码，一条接一条，绝不回头。	跟随程序的控制流（跳转、调用、条件分支）进行解析。
假设	字节序列全是代码，不存在数据混入。	只有可执行路径上的字节才是代码，未到达的可能是数据或死代码。
对嵌入数据的处理	极差。会将数据当作指令解码（产生"乱码"），导致后续所有指令错位。	良好。能识别跳转表或数据区，跳过数据区域继续解析。
间接跳转（如 `jmp eax`）	不受影响（依然顺序往下解）。	无法确定目标地址，会在此处停止递归，导致该分支后续代码遗漏。
误报率（将数据当代码）	高	低
漏报率（遗漏合法代码）	低（因为全扫了，只是扫错了）	高（遇到间接跳转就停下，可能漏掉动态计算的代码块）
典型应用场景	简单的固件分析、已知无数据的纯净代码段、反调试对抗（故意塞数据扰乱反汇编器）。	现代高级语言编译的复杂程序（如C/C++/Rust），正规IDA Pro/Ghidra的默认模式。

工作流程 ：从入口点（如 _start）开始，依次读取地址 0x1000, 0x1001, 0x1002...，不管当前指令是多长（x86变长指令），读完一条紧接下一条。
缺陷：在冯·诺依曼架构中，代码和数据混在一起。如果代码中间插入了字符串或常量，线性反汇编会强行将这些 ASCII 码解释为机器码。
- 例子：如果数据是 EB FF（十六进制），线性反汇编会将其解析为 JMP -1，从而算出错误的下一条指令地址，导致后续所有反汇编结果全部失效（同步丢失）。
优点：速度快，算法简单，能覆盖文件中的所有字节，不会遗漏任何间接跳转可能指向的尾部区域。

工作流程 ：它模拟 CPU 的执行逻辑。从入口点解一条指令，分析这条指令的语义：
- 如果是顺序指令 （如 mov），则解析下一条紧邻的地址；
- 如果是无条件跳转 （如 jmp 0x2000），则跳到 0x2000 去解析，而不解析跳转指令后面的字节（即跳转延迟槽之外的数据，除非有标签引用）；
- 如果是条件跳转 （如 jz 0x3000），则同时解析 下一地址（不跳转时的路径）和目标地址 0x3000（跳转时的路径）。
解决数据问题 ：遇到 call 指令时，它会将 call 后面的地址（返回地址）和函数入口分别解析。如果某个地址被引用为数据（如 lea eax, [byte_ptr]），它会将该区域标记为数据，不再尝试反汇编。
缺陷：对于 jmp eax 或 call [ebx+4] 这类间接跳转/调用 ，由于在静态分析下无法确定寄存器的值，递归反汇编无法知道目标地址，只能放弃追踪。在实际编译器中，这常常导致大段代码（如虚函数表调用、Switch-Case 跳转表）在反汇编窗口中显示为"未知函数"或丢失。

在工业级工具（IDA Pro 或 Ghidra）中，不会只用其中一种 ，而是采用递归为主，线性为辅的组合策略：

先用递归反汇编扫描出所有通过直接跳转可达的函数边界。
针对递归遗漏的"空洞"（未分析的字节区域），使用线性反汇编进行试探性扫描。
如果线性扫描发现了一连串合法的、连续的指令（如 push ebp; mov ebp, esp; ...），反汇编器会认定这里是一个未识别出的函数入口，并将其加入递归队列中重新分析。

在恶意代码分析 中，必须清楚这两种模式：攻击者经常在代码中插入无效字节 （扰乱线性反汇编），或使用**call $+5; pop eax; add eax, xxx; jmp eax**（扰乱递归反汇编）来对抗分析工具。理解它们的区别，是手工修复反汇编错误的基础。