Por qué .NET y Java cambian el análisis

Un programa nativo se compila directamente a instrucciones del procesador, y por el camino se pierden los nombres que puso quien lo escribió. Un programa de .NET o de Java se compila a un código intermedio: el CIL en .NET y el código de bytes en Java. Ese código no lo ejecuta el procesador tal cual; lo traduce el entorno de ejecución (el CLR en .NET, la máquina virtual en Java) en el momento de usarlo.

Para poder hacer esa traducción, el entorno necesita una descripción completa del programa: qué tipos hay, cómo se llaman sus métodos y campos, qué parámetros reciben y de qué otros componentes dependen. Esa descripción son los metadatos, y viajan dentro del archivo. El decompilador los aprovecha para reconstruir clases y métodos con sus nombres reales, y por eso la salida se parece tanto al original.

Que se lea casi como texto no significa que sea el original: comentarios y nombres de variables locales suelen perderse, y el autor pudo renombrarlo todo antes de compilar.

Un ejecutable de .NET para Windows empieza igual que cualquier otro, con «MZ», y tiene la misma estructura PE. Lo que lo delata está en la ficha: una cabecera del entorno de ejecución y una tabla de importaciones casi vacía, con una sola función de mscoree.dll. Esa función es la que arranca el entorno; todo lo demás lo resuelve el entorno después, no el cargador del sistema.

Un nativo, en cambio, importa decenas de funciones de las bibliotecas del sistema, porque las llama directamente. Por eso la extensión del archivo no sirve para decidir cómo se lee: dos .exe pueden pedir trabajos muy distintos.

El tercer adjunto no comparte esa ventaja: no tiene cabecera del entorno de ejecución y llama directamente a las bibliotecas del sistema. Para él no hay decompilado legible, sino listado y pseudocódigo aproximado, que es el material del módulo anterior y suele pedir días de especialista.

Decidir la cola el primer día ahorra el error más caro de este oficio: esperar de un nativo un decompilado que no va a llegar, o mandar a un especialista externo algo que se leía en la casa en una tarde.

La comodidad de leer clases con nombre tiene una trampa: los nombres los eligió el autor. Una clase que se llama ActualizadorSeguro no es segura por llamarse así, y un método GuardarRegistro puede hacer cualquier otra cosa. El decompilado muestra qué hace el código; el nombre solo dice qué quería que pareciera.

Además, sigue siendo lectura de una muestra que no se ejecuta en el equipo de trabajo, y lo que se afirma sigue necesitando su evidencia, igual que con un nativo.