逆向复盘怎么写：样本、地址和结论要能互相对应

逆向复盘最容易出现“故事很完整，证据对不上”。时间线应围绕样本版本与分析动作，而不是补写戏剧化现场。

最小证据包

保存样本校验值、获取渠道与授权、工具版本和加载基址。每个关键结论关联函数地址、指令或动态观察；反编译伪代码只做辅助。涉及密钥、个人信息或恶意基础设施时，报告中做必要脱敏。

原因不要越级

“某函数解析输入后越界”可以由调用栈和内存访问支持；“攻击者已利用”则需要另外的入侵证据。直接原因、影响条件和未生效防线分别陈述。

修复后用最小样本回归，并检查相邻解析路径。好的复盘让读者知道哪些已证实、哪些还在查，不靠“典型事故”四个字增加可信度。