re-cpp-abi

现代 C++ 逆向（RTTI / 异常 / 虚表）

何时使用 / 何时不用

• 用：RTTI/异常表密集的二进制、反编译结果混乱的 C++ 目标（类层次/虚调用/异常流无法直接读出）
• 不用：C 代码或纯汇编（走 [[re-binary-core]] 通用路径）；混淆主导的目标（先 [[re-deobfuscate]]）

工具准备

readelf / llvm-objdump（节表与异常表）

• Linux: apt install binutils llvm / dnf install binutils llvm / pacman -S binutils llvm
• macOS: brew install llvm（binutils 部分 macOS 自带）
• Windows: WSL 或 llvm 预编译
• 验证: readelf --version、llvm-objdump --version

c++filt / undname（mangling 解码）

• Linux/macOS: c++filt（binutils 自带）；Windows: undname（VS 工具链）
• 验证: echo '_ZN3foo3barEv' | c++filt（输出 foo::bar()）

Ghidra / IDA（反编译底座，脚本化 RTTI 遍历）

• 安装与验证见 [[re-ghidra]] / [[re-ida]] 工具准备

gdb（异常断点，可选）

• 安装与验证见 [[re-gdb]]

操作步骤

按顺序执行，每步产物存档（路径 + sha256，见 [[re-triage]]）。

1. ABI 识别：

   readelf -s sample | grep -E '_ZN|_ZTV|_ZTI' | head    # Itanium（GCC/Clang）
   strings sample | grep -E '^\?\?_' | head              # MSVC
   

   • Itanium 特征：_ZN（函数）、_ZTV（虚表）、_ZTI（RTTI 类型信息）
   • MSVC 特征：??_7（vftable）、??_R（RTTI）（strip 后 ??_ 在符号表而非字符串区——补查导入表 __CxxFrameHandler / msvcp 特征辅助判断）
   • 识别错则后续全部偏——先确认再继续

2. RTTI 重建（Itanium）：

   readelf -s sample | grep _ZTI | head
   # _ZTI<类名> 指向 typeinfo：起始为 vptr（指向 _ZTVN10__cxxabiv1... 类型信息虚表），
   # 下一 pointer-sized 槽为 __type_name；64 位通常 +0/+8、32 位 +0/+4
   # 解析前先定 ELF class / 指针宽度；__si_class_type_info / __vmi_class_type_info 同样按目标 ABI 对齐与字段宽度解析
   

   • 结构：typeinfo → __class_type_info 派生链 → 每个类的完整继承路径
   • 脚本化：Ghidra/IDA 遍历 _ZTI 引用，重建类继承图（父子关系表）
   • 产出：类名 → 继承链映射（写入会话 symbols_known，见 [[re-analyze/analysis-contract]]）
   • MSVC：??_R0<类名> TypeDescriptor 符号 + _RTTICompleteObjectLocator（COL）遍历重建继承图

3. 虚表恢复：

   readelf -s sample | grep _ZTV | head
   

   • _ZTV<类名> 指向 vtable 起点（虚函数指针数组）；vtable 前缀两槽位（32 位 8 字节 / 64 位 16 字节）：offset to top + typeinfo 指针（Itanium ABI）
   • 定位 vtable 后：每个槽位的函数地址 → 调用点反推虚方法名（结合步骤 2 的继承图）
   • 虚调用（call *reg）无法静态定名 → 用调用点上下文（参数/返回值使用）缩小候选

4. 异常处理表：

   readelf -S sample | grep -E 'eh_frame|gcc_except'   # ELF：.eh_frame（readelf 不解析 PE，PE 走下方命令）
   llvm-readobj --coff-unwind-info sample.exe            # PE：.pdata/.xdata（或 objdump -h / pefile）
   

   • PE：.pdata 的 RUNTIME_FUNCTION（Begin/End/UnwindInfo）→ .xdata 展开数据 → 异常处理器（__CxxFrameHandler3）
   • ELF：.eh_frame 的 FDE/CIE → 展开规则与 LSDA（.gcc_except_table）→ 异常处理函数
   • 用途：恢复被异常路径打断的控制流、定位析构/清理逻辑（catch 块）