mcpField
M
macos-reverse

macos-reverse

github.com/zhaoxuya520セキュリティ43.7k1.2k 回インストール5 週間前に更新
リポジトリ

macos-reverse について

macOSやMach-Oの実行ファイル、アプリバンドルなどを調べるセキュリティ研究者向けのリバースエンジニアリングスキルです。署名・ロード情報、静的解析、動的解析の順に進め、Objective-C、Swift、OSのセキュリティ機能も扱います。

主な機能

  1. 01署名とロード情報の確認
  2. 02Mach-O依存関係とrpathの調査
  3. 03Objective-CとSwiftのシンボル確認
  4. 04lldbやFridaによる動的解析
  5. 05公証、Hardened Runtime、TCCの分析

活用シーン

  1. 01macOSマルウェアの分析
  2. 02.app、LaunchAgent、dylibの調査
  3. 03TCCの機密API利用の調査
  4. 04プロセス、ファイル、ネットワーク動作の追跡

インストール

コマンドをコピーしてターミナルで実行します。

$npx skills add https://github.com/zhaoxuya520/reverse-skill --skill macos-reverse

インストール後、Claude Code で/macos-reverseを入力して読み込まれたか確認します。

同梱ファイルreferences/macho-triage.md

README（原文）English

プロジェクトの README より

この README の日本語訳はまだありません。以下は英語の原文です。日本語の紹介はページ上部をご覧ください。

macOS / Mach-O Reverse Engineering

ACTION REQUIRED（读完后立刻执行）

  1. NOW: 读取 ../field-journal/precedent-reverse.md
  2. NOW: 确认目标为 macOS/Mach-O/App bundle（iOS IPA → mobile-reverse/）
  3. NEXT: tool-index；jtool2/lldb 等
  4. ACT: 签名与装载信息 → 静态 → 动态（lldb/Frida）

适用场景

  • Mach-O 可执行文件 / dylib / framework
  • .app bundle、LaunchAgent/Daemon
  • Objective-C / Swift 符号与 runtime
  • 公证/签名、Hardened Runtime、TCC 相关行为分析
  • macOS 恶意软件静态/动态分析（联合 malware-analysis）

工作流

1. 包体与签名
file target
codesign -dv --verbose=4 target
spctl -a -vv target 2>&1
otool -L target
2. 静态
□ class-dump / swift-demangle / Hopper / Ghidra / IDA
□ 字符串与 XPC 服务名、TCC 敏感 API
□ LC_LOAD_dylib 依赖与 rpath
3. 动态
□ lldb / Frida
□ fs_usage / log stream 观察
□ 网络：联合 protocol-reverse 或代理

工具链

工具用途
otool / nm / codesign系统自带
Hopper / Ghidra / IDA反编译
class-dump / dsdumpObjC
Frida / lldb动态
jtool2Mach-O

参考

  • references/macho-triage.md
  • ../mobile-reverse/（iOS） ../ghidra-reverse/ ../malware-analysis/

路由上下文

上游: MASTER R31
下游: iOS → mobile-reverse；通用样本 → malware-analysis

任务完成自检

  • 是否记录签名/Hardened Runtime 状态？
  • 是否有地址级/符号级结论？
  • Checklist？

コメント

Markdown 対応