reverse-engineering

逆向工程

范围

对编译后的二进制文件（ELF、PE、Mach-O）和字节码产物进行逆向，以还原算法、验证输入或构建静态求解器。重点关注 CTF / 恶意软件分析中反复出现的模式：宿主二进制加载一个使用自定义 ISA 的“程序”文件——识别分发循环，将操作码映射为 Python lambda，并在不执行宿主程序的情况下，使用纯 Python 逆转转换链。还涵盖调用混淆（控制流分块）、MBA（混合布尔—算术）运算符混淆、加密处理程序技巧，以及三层反混淆流水线。

何时使用

• 同时提供了一个二进制文件和一个“程序数据”文件，且该二进制文件看起来像解释器（带主题风格的操作码名称、分发 switch / 跳转表）。
• 反汇编结果显示出 while(true){ op = mem[pc++]; switch(op){...}; } 风格的循环，或按操作码索引的跳转表。
• 二进制文件经过高度混淆（调用混淆、MBA 包装器、启动时在 .data 中解密为 RWX 的加密处理程序）。
• 需要从本机代码中还原算法或校验函数，但无法动态执行（反调试、架构不匹配、无 TTY）。
• 优先采用静态逆向（比模拟器链更快、更可靠）。

参考资料

• reference/custom-vm-bytecode.md — 识别并逆转自定义栈式、寄存器式和带式 VM；调用混淆线性化；MBA 运算符识别；加密处理程序解密。