anti-reversing-techniques

仅限授权使用：本技能包含两用安全技术。在进行任何绕过或分析之前：

1. 验证授权：确认你已获得软件所有者的明确书面授权，或你的操作处于合法场景中（CTF、授权渗透测试、恶意软件分析、安全研究）
2. 记录范围：确保你的操作处于授权所定义的范围之内
3. 法律合规：请理解，未经授权绕过软件保护可能违反法律（CFAA、DMCA 反规避条款等）

合法用例：恶意软件分析、授权渗透测试、CTF 竞赛、学术安全研究、分析你拥有/拥有权利的软件

反逆向技术

了解在授权软件分析、安全研究和恶意软件分析过程中遇到的保护机制。这些知识可帮助分析人员绕过保护，以完成合法的分析任务。

有关高级技术，请参阅 references/advanced-techniques.md

---

输入 / 输出

你需要提供：

• 二进制路径或样本：正在分析的可执行文件、DLL 或固件镜像
• 平台：Windows x86/x64、Linux、macOS、ARM —— 影响适用哪些检查
• 目标：为动态分析而绕过、识别保护类型、构建检测代码、为 CTF 实现

本技能会产出：

• 保护识别：命名的技术（例如 RDTSC 计时检查、PEB BeingDebugged）及其在二进制中的位置
• 绕过策略：用于中和每项检查的具体补丁地址、hook 点或工具命令
• 分析报告：结构化发现，列出每个保护层、严重性和推荐的绕过方式
• 代码产物：用于绕过或实现检查的 Python/IDAPython 脚本、GDB 命令序列或 C 存根

---

详细模式与完整示例

详细模式文档位于 references/details.md。当上述导航层级不够用时，请阅读该文件。

故障排除

检测技术在 x86 上有效，但在 ARM 上无效

RDTSC 和 CPUID 仅适用于 x86。在 ARM 上，请使用 MRS x0, PMCCNTR_EL0（需要内核 PMU 访问权限）或 clock_gettime(CLOCK_MONOTONIC)。PEB/TEB 在 ARM 上不存在 —— 请替换为 /proc/self/status（Linux）或 task_info（macOS）。使用平台特定的 API 重建检测逻辑。

对合法调试器或分析工具产生误报

当 Process Monitor 或 AV hook 增大系统调用延迟时，计时检查会触发。在启动时校准阈值：对受保护路径测量 3 次，并使用 mean + 3*stddev。对于 ptrace 检查，在退出前通过 /proc/<pid>/comm 验证 TracerPid 的 comm 名称 —— 它可能是无关的监控工具，而不是调试器。

绕过补丁导致崩溃，而不是继续执行

在对条件跳转执行 NOP 之前，请完整跟踪“检测到”分支。如果它初始化或释放了后续所需的堆状态，那么修补该跳转就会跳过该设置并破坏状态。相反，请将比较操作数修补为预期的“干净”值，或者在断点上使用 x64dbg 的“将条件设置为始终为假”，而不是修改字节。

---

相关技能

• binary-analysis-patterns —— 面向 ELF/PE/Mach-O 的静态和动态分析工作流
• memory-forensics —— 进程内存获取、产物提取和实时分析
• protocol-reverse-engineering —— 解码自定义二进制协议和加密网络流量