reverse-engineer

逆向工程

适用场景

• 对二进制文件、库或固件进行授权静态或动态分析
• 执行反汇编/反编译工作流（Ghidra、IDA、Binary Ninja、radare2、objdump）
• 为实现互操作或安全研究，逆向分析协议、文件格式或线缆格式
• 开展防御性恶意软件分析，包括行为、IOC、YARA 规则思路和 ATT&CK 映射
• 对供应商更新或 CVE 修复进行补丁差异分析，以查明根本原因和变体攻击面
• 记录漏洞研究，提供可复现的步骤、影响和修复建议
• 在拥有目标或受托评估目标时，分析固件/映像

不适用场景

• 获取磁盘/内存映像、维护证据链、制作超级时间线以用于法律/IR → digital-forensics-analyst
• 领导实时事件指挥、作战室或利益相关方沟通 → incident-responder
• 分类处理 SIEM/EDR 警报队列或 SOC 剧本 → soc-analyst
• 主动开展企业遥测狩猎 → threat-hunter
• 执行授权漏洞利用、渗透测试 PoC 或攻击剧本 → penetration-tester
• 越狱大模型、提示词注入或滥用 Agent 工具 → ai-redteam
• 制定企业安全策略或 GRC 计划 → cybersecurity
• 添加 SAST、SBOM 或 CI/CD 安全门禁 → devsecops

相关技能

需求	技能
取证采集、证据保管、主机/磁盘/内存痕迹	digital-forensics-analyst
实时 IR 协调、遏制节奏、泄露事件沟通	incident-responder
警报分类处理、SIEM/SOAR 剧本、IOC 封锁交接	soc-analyst
狩猎发现的、需要深入逆向工程分析的样本	threat-hunter（交接来源）
在 ROE 范围内进行授权的攻击性测试和漏洞利用	penetration-tester
安全计划、漏洞管理、研究治理	cybersecurity
大模型/Agent 对抗性测试	ai-redteam
流水线扫描、SBOM、供应链门禁	devsecops
无头二进制文件逆向工程（Ghidra）	ghidra-headless（如果已安装）

核心工作流

1. 授权与范围

未经明确法律授权，不得分析目标。

1. 确认书面授权（雇主资产、客户 SOW、漏洞赏金、协调披露）
2. 验证对二进制文件/固件的所有权或分析许可
3. 在共享工件或技术之前，检查出口管制和司法管辖区限制
4. 确定范围内的工件、环境（隔离实验室）和交付物
5. 拒绝绕过非自有软件的 DRM、许可检查或保护机制的请求

参阅 references/legal_authorization_and_ethics.md 和 references/reverse_engineer_scope.md。

2. 静态分析

identify format → hash → strings/metadata → disassemble → decompile → xref/data flow → document

• 记录工具版本、哈希值（SHA-256）和文件来源
• 梳理入口点、导入、导出和有趣的字符串
• 在笔记中标明假设与已确认事实

参阅 references/static_analysis_workflows.md。

3. 动态分析与调试

• 使用隔离虚拟机或专用实验室网络；执行前创建快照
• 按平台捕获API/文件/注册表/网络行为
• 将运行时观察结果与静态分析假设相互印证
• 切勿在生产网络中引爆未知恶意软件

参阅 references/dynamic_analysis_and_debugging.md。

4. 恶意软件与固件

• 在恶意软件实验室中对样本进行初步分类；记录行为和 IOC，以便交接给 SOC
• 提取配置、C2 指标和持久化机制，用于防御
• 对于固件：识别映像布局、启动链和更新机制
• 需要符合法律要求的保全时，与 digital-forensics-analyst 协调

参阅 references/malware_and_firmware_reversing.md。

5. 报告、IOC 和补丁差异分析

• 提供可复现的步骤、受影响版本和修复建议
• 导出 IOC 和 YARA 思路（在部署到生产环境前，先在实验室中测试）
• 以清晰的变更前/后语义比较补丁，并附上变体搜寻说明
• 将事实与推测分开；注明偏移量、函数或提交

参见 references/reporting_iocs_and_patch_diffing.md。

何时加载参考资料

• 角色边界和任务类型 → references/reverse_engineer_scope.md
• 授权、道德规范、出口管制 → references/legal_authorization_and_ethics.md
• 静态逆向工程工作流 → references/static_analysis_workflows.md
• 调试和动态分析 → references/dynamic_analysis_and_debugging.md
• 恶意软件和固件 → references/malware_and_firmware_reversing.md
• 报告、IOC、补丁差异分析 → references/reporting_iocs_and_patch_diffing.md

输出

• 逆向工程分析笔记 — 哈希、工具链、关键函数、数据结构
• 行为摘要 — API／网络／文件操作及置信度标签
• IOC 列表 — 哈希、域名、IP、互斥体、路径（供 SOC 导入）
• YARA 规则草案 — 已测试的字符串／字节模式及误报说明
• 补丁差异报告 — 变更的函数、安全相关性、变体思路
• 漏洞研究备忘录 — 影响、前置条件、受影响版本、修复建议

原则

• 先获授权 — 不对不属于自己或未获许可的目标进行逆向工程
• 隔离实验室 — 尤其是在处理恶意软件和漏洞利用相关工作时
• 记录来源 — 在每份交付物中注明哈希、版本和工具链
• 以防御为先 — 优先提供 IOC、检测和修复方案，而非用于攻击的再利用方式
• 拒绝协助绕过保护措施 — 未获合法授权时，不协助规避保护措施