Reverse Engineering

逆向工程

概述

逆向工程是从外部观察推断内部实现的过程。四个目标领域共享同一核心哲学：

从可见到隐藏、从静态到动态、从简单到复杂。

通用工作流：目标识别 → 表面分析 → 深入分析 → 机制还原 → 复现

不要上来就深入细节——先理解你面对的是什么，再选择合适的工具和方法。

何时使用

• Web：开发爬虫、提取 API、竞品技术分析、复现网站功能
• 二进制：软件安全审计（授权）、恶意软件分析、互操作性开发
• 移动端：App 安全审计、SDK 行为分析、第三方库审查
• 协议：IoT 设备逆向、自定义协议还原、API 文档补全

不适用： 未授权的渗透测试、窃取商业数据、绕过付费墙、制作盗版软件。

法律提示： 逆向工程必须在合法授权范围内进行。中国适用《网络安全法》《数据安全法》《计算机软件保护条例》。仅在拥有书面授权、CTF 比赛、Bug Bounty 计划或自有系统安全审计时进行。

通用基础

常见加密速查

不管逆向什么目标，加密是共性问题。以下是最常见的算法和 Python 复现一行式：

import hashlib, hmac, base64
from Crypto.Cipher import AES, DES, DES3, PKCS1_v1_5
from Crypto.PublicKey import RSA
from Crypto.Util.Padding import pad, unpad

# --- 哈希 ---
hashlib.md5(b'text').hexdigest()
hashlib.sha256(b'text').hexdigest()
hmac.new(b'key', b'msg', hashlib.sha256).hexdigest()

# --- AES ---
aes = AES.new(b'16bytekey123456', AES.MODE_CBC, b'16byteiv12345678')
base64.b64encode(aes.encrypt(pad(b'plaintext', 16))).decode()  # 加密
unpad(AES.new(b'16bytekey123456', AES.MODE_CBC, b'16byteiv12345678').decrypt(base64.b64decode('密文')), 16).decode()  # 解密
# AES-ECB 无 IV: AES.new(key, AES.MODE_ECB)

# --- RSA ---
key = RSA.import_key(open('pub.pem').read())
base64.b64encode(PKCS1_v1_5.new(key).encrypt(b'plaintext')).decode()

# --- 国密 SM2/SM4 (pip install gmssl) ---
from gmssl import sm2, sm4
# SM2: sm2.CryptSM2(public_key=pub, private_key='').encrypt(plain)
# SM4: sm4.CryptSM4().set_key(key, sm4.SM4_ENCRYPT); crypt.crypt_ecb(plain)

# --- 编码检测 ---
# Base64 特征：A-Za-z0-9+/=，长度 4 的倍数
# Hex 特征：0-9a-f，长度偶数
# URL 编码：%XX 格式

调试基础

断点策略：

调用栈阅读：

关键原则：从下往上读（最下面是调用起点，最上面是当前执行点）
关注：函数名、参数值、返回地址、栈上的局部变量

内存布局（x86/x64）：

高地址  ┌─────────────┐
        │    Stack     │ ← 局部变量、函数参数（向下增长）
        ├─────────────┤
        │     ↓  ↑    │
        ├─────────────┤
        │    Heap      │ ← malloc/new 分配（向上增长）
        ├─────────────┤
        │    .bss      │ ← 未初始化全局变量
        ├─────────────┤
        │    .data     │ ← 已初始化全局变量
        ├─────────────┤
        │    .text     │ ← 代码段（只读、可执行）
低地址  └─────────────┘

逆向方法论

静态 vs 动态分析选择：

发现记录模板：

## 逆向发现 #N
- **目标：** [文件/接口/协议]
- **方法：** [静态分析/动态调试/Hook/抓包]
- **发现：** [具体功能、算法、密钥、接口]
- **证据：** [截图/日志/代码片段]
- **复现：** [如何验证这个发现]
- **置信度：** [高/中/低]

第一部分：Web 逆向

1.1 技术指纹识别

快速检测：

# HTTP 头
curl -sI https://example.com | grep -iE "server|x-powered-by|x-framework|set-cookie"

# HTML 特征（前 100 行）
curl -s https://example.com | head -100
# 寻找：meta generator、script src、注释中的框架标识

# JS bundle 框架水印
curl -s https://example.com | grep -oP 'src="[^"]*\.js"' | head -5
curl -s https://example.com/static/js/main.js | grep -oE '(React|Vue|Angular|Next|Nuxt|Svelte)' | sort -u

常见指纹表：

1.2 前端架构分析

SPA 路由提取：

// Vue Router
JSON.stringify(
  document.querySelector('#app').__vue_app__
    ?.config.globalProperties?.$router?.options?.routes
    ?.map(r => ({ path: r.path, children: r.children?.map(c => c.path) })),
  null, 2
)

// Next.js — 从 _buildManifest.js 获取页面路由
fetch('/_next/static/' + document.querySelector('script[src*="_buildManifest"]')
  ?.src.match(/_next\/static\/([^/]+)/)?.[1] + '/_buildManifest.js')
  .then(r => r.text()).then(console.log)

构建产物分析：

# 查找 source map（可能泄露完整源码）
curl -s https://example.com/static/js/main.js.map -o main.map
npx source-map-explorer main.map

# 提取路由和 API 端点
curl -s https://example.com/static/js/main.js | \
  grep -oP '"/(api|auth|admin|dashboard|user|login|register)[^"]*"' | sort -u

1.3 网络流量捕获

DevTools 操作流程：

1. Network 面板 → 勾选 "Preserve log"
2. 清空记录 → 执行目标操作（登录、搜索、翻页等）
3. 按类型筛选：XHR/Fetch 为主
4. 检查每个请求：URL、Headers、Body、Response、Status Code

curl 复现模板：

# 从 DevTools 右键 → Copy as cURL 获取完整命令
# 精简为最小参数后复现
curl -X POST 'https://example.com/api/v1/search' \
  -H 'Content-Type: application/json' \
  -H 'Authorization: Bearer <token>' \
  -d '{"keyword":"test","page":1}' | jq '.data'

批量端点发现：

curl -s https://example.com/static/js/app.js | \
  grep -oP '["`]/api/[^"`\s]+["`]' | tr -d '"' | sort -u

1.4 认证逆向

认证机制识别：

Set-Cookie: sessionid=xxx  → Cookie-based
响应体 {token, refresh_token} → JWT-based
302 重定向到第三方 → OAuth/SSO

登录流程追踪：

1. Network 面板 → 输入账号密码 → 点击登录
2. 找到 POST 请求（通常 /login, /auth, /api/auth）
3. 分析请求体：{username, password, captcha?, csrf_token?}
4. 分析响应：Set-Cookie / token / redirect
5. 追踪后续请求如何携带凭证（Cookie / Authorization Header）

JWT 解码：

echo "eyJhbGciOiJIUzI1NiJ9.eyJzdWIiOiIxMjM0NTY3ODkwIn0.xxx" | cut -d. -f2 | base64 -d 2>/dev/null | jq

Token 提取：

// localStorage / sessionStorage
Object.keys(localStorage).forEach(k =>
  console.log(k, '=', localStorage[k].substring(0, 50))
);

1.5 加密速查表

签名机制 4 种模式：

模式 1: sign = MD5(key1=val1&key2=val2&secret=xxx)     # 参数排序 + 密钥
模式 2: sign = HMAC-SHA256(secret, timestamp+nonce+body) # HMAC
模式 3: sign = SHA256(ts + nonce + sorted_params + secret) # 时间戳+随机数
模式 4: sign = Base64(HMAC-SHA256(secret, method+path+body_hash)) # 请求体哈希

详细加密逆向（JS Hook 代码、WASM 分析、JS 反混淆、密钥提取技巧）→ references/web-re.md

1.6 数据流文档化

端点文档模板：

### POST /api/v1/login
- 用途：用户登录
- 参数：{ username: string, password: string }
- 认证：无
- 响应：{ code: 0, data: { token: string, expires_in: int } }
- 注意：密码经 RSA 加密（见 login.js 中的 encrypt 函数）

Python 复现模板：

import requests

class SiteClient:
    def __init__(self, base_url):
        self.base_url = base_url
        self.session = requests.Session()
        self.session.headers.update({
            'User-Agent': 'Mozilla/5.0 (Windows NT 10.0; Win64; x64) ...',
            'Accept': 'application/json',
        })

    def login(self, username, password):
        resp = self.session.post(f'{self.base_url}/api/login', json={
            'username': username, 'password': password,
        })
        data = resp.json()
        if data.get('code') == 0:
            self.session.headers['Authorization'] = f"Bearer {data['data']['token']}"
        return data

    def get_users(self, page=1, size=20):
        return self.session.get(f'{self.base_url}/api/users',
            params={'page': page, 'size': size}).json()

详细安全测试（认证测试、越权检测、漏洞报告模板）→ references/web-re.md

第二部分：二进制逆向

2.1 文件识别

# 快速识别文件类型
file target.exe                    # 通用识别
binwalk target.exe                 # 嵌入文件检测

# Detect It Easy (DIE) — GUI 工具，识别编译器、壳、加密库
# PEiD — PE 文件查壳（经典工具）

2.2 静态分析

IDA Pro 核心操作：

F5 → 伪代码    X → 交叉引用    N → 重命名    G → 跳转地址
; → 注释       Y → 修改类型    Space → 图形/文本切换

IDA Python 常用：

# 搜索关键字符串
for s in idautils.Strings():
    if "encrypt" in str(s).lower():
        print(f"0x{s.ea:x}: {s}")

# 枚举感兴趣函数
for ea in idautils.Functions():
    name = idc.get_func_name(ea)
    if "crypt" in name.lower() or "key" in name.lower():
        print(f"0x{ea:x}: {name}")

Ghidra 工作流：

1. Import → Auto-Analysis → Search Strings → Decompile
2. 右键函数 → Decompile 查看伪代码
3. Window → Defined Strings 定位密钥/URL

常见模式识别：

; 函数序言 (x86)
push ebp; mov ebp, esp; sub esp, 0x40
; 虚函数调用 (C++)
mov ecx, [this]; mov eax, [ecx]; call [eax+0x10]
; switch 跳转表
cmp eax, 5; ja default; jmp [table + eax*4]

2.3 动态分析

x64dbg 核心操作：

GDB 常用命令：

gdb ./target
b main              # 设断点
r                   # 运行
ni / si             # 步过/步入
x/20x $rsp          # 查看栈
info registers      # 寄存器
disassemble main    # 反汇编
set $eax = 0        # 修改寄存器

脱壳通用方法：

ESP 定律: F8 到 OEP 附近 → ESP 变化后设硬件断点 → F9 到 OEP
单步跟踪: F7/F8 逐步跟踪，遇向上跳转用 F4 跳过循环
内存断点: .text 段设执行断点，脱壳完成后触发到 OEP

常见壳：

2.4 DLL 注入与 Hook

注入方式：

Hook 类型对比：

Inline Hook 原理：

原函数入口:                    Hook 后:
push ebp                      jmp hook_handler    ← 替换前 5 字节
mov ebp, esp                  ... (原指令)
sub esp, 0x40                 jmp original + 5    ← 跳回
...

VMT Hook 原理（C++ 虚函数）：

对象内存: [vtable_ptr] → [vtable] → [func0, func1, func2...]
替换 vtable 中的函数指针 → 指向 Hook 函数
适用于: COM 接口、C++ 多态类、游戏引擎对象

完整 DLL 注入 C 代码、MinHook、VMT/EAT/异常 Hook 代码 → references/binary-re.md

2.5 内存分析

Cheat Engine 标准流程：

1. 精确值扫描: 知道值(如血量=100) → 首次扫描 → 值变化 → 再次扫描 → 缩小范围
2. 模糊扫描: 不知道值 → 记录当前值 → 值变化 → "增加了/减少了" → 逐步缩小
3. AOB 特征码: 跨版本兼容 → 搜索字节模式 → 通配符 ?? 匹配变化字节

指针链与基址定位：

动态地址 → [指针1] → [指针2] → [基址+偏移] = 静态地址
基址 = 模块加载地址（不变）, 偏移 = 相对位移
多级指针: 基址 + offset1 → + offset2 → + offset3 = 目标地址

AOB 特征码扫描（跨版本兼容）：

# 特征码: 55 8B EC 83 E4 F8 ?? ?? ?? 53 56 8B F1
# ?? = 通配符，匹配任意字节
# 找到特征码地址 + 偏移 = 目标函数/数据地址

完整 CE 流程、指针链追踪代码、AOB 扫描 Python 实现 → references/binary-re.md

2.5 .NET/Java 特化

.NET 逆向：

dnSpy: 打开 DLL → 浏览类结构 → 右键 Edit Method → Debug Attach
de4dot: 自动去除 .NET 混淆 → de4dot obfuscated.exe -o clean.exe
Harmony: 运行时补丁 → [HarmonyPatch] 标记 + Prefix/Postfix 方法

Java 逆向：

jadx-gui: 打开 .jar/.apk → 反编译为 Java 源码
CFR: java -jar cfr.jar target.class --outputdir output/
Java Agent: -javaagent:agent.jar 启动时注入字节码修改

完整 IDA 脚本、x64dbg 脚本、DLL 注入代码、.NET/Java 工作流 → references/binary-re.md

第三部分：移动端逆向

3.1 APK 分析

APK 结构：

app.apk
├── AndroidManifest.xml   # 清单（二进制 XML）
├── classes.dex           # DEX 字节码
├── lib/                  # Native SO（arm64-v8a/armeabi-v7a）
├── res/                  # 资源
└── assets/               # 原始资源

反编译工具链：

jadx-gui app.apk          → Java 源码分析（推荐首选）
apktool d app.apk -o out/ → Smali + 资源（可编辑重打包）

关键搜索：

"https://"     → API 端点    "AES"/"RSA" → 加密算法
"api_key"      → API 密钥    "SharedPreferences" → 本地存储

3.2 Smali 编辑

# 寄存器: v0-vN=本地, p0-pN=参数 (非静态 p0=this)

# 强制返回 true
const/4 v0, 0x1
return v0

# 方法调用
invoke-virtual {v0, v1}, Lcom/example/Foo;->bar(I)V
const-string v0, "Hello"
move-result-object v0

重打包流程：

apktool d → 编辑 smali → apktool b → zipalign → apksigner → adb install

3.3 Frida 动态插桩

安装与启动：

pip install frida-tools objection
# 检查设备架构
adb shell getprop ro.product.cpu.abilist
# 推送并启动 frida-server
adb push frida-server /data/local/tmp/
adb shell "chmod 755 /data/local/tmp/frida-server"
adb shell "/data/local/tmp/frida-server &"
# 绕过检测：改名或移到 /dev
# adb shell "mv /data/local/tmp/frida-server /data/local/tmp/fs-$(date +%s)"

Hook Java（Android）：

Java.perform(function() {
    var Cls = Java.use("com.example.App");
    Cls.encrypt.overload('java.lang.String').implementation = function(input) {
        console.log("[*] encrypt input=" + input);
        var result = this.encrypt(input);
        console.log("[*] encrypt output=" + result);
        return result;
    };
    Cls.isRooted.implementation = function() { return false; };
});

Hook Native：

Interceptor.attach(Module.findExportByName("libnative.so", "encrypt"), {
    onEnter(args) { console.log("[*] arg0=" + args[0].readUtf8String()); },
    onLeave(retval) { console.log("[*] ret=" + retval.readUtf8String()); }
});

CLI 命令：

frida -U -f com.app -l script.js --no-pause   # spawn 模式
frida -U com.app -l script.js                   # 附加模式
frida-trace -U -f com.app -j "*!*encrypt*"      # Java 方法追踪
frida-trace -U -f com.app -i "encrypt"           # Native 函数追踪
frida-discover -U -f com.app                     # 自动发现未知函数
frida-ps -Ua                                     # 列出已安装应用

Stalker（指令级跟踪）： 对目标函数做逐指令跟踪，适用于分析混淆后的加密逻辑。

Objection 快速操作：

objection -g com.app explore
android root disable       # 绕过 root 检测
android sslpinning disable # 绕过 SSL 锁定
android hooking list classes
android hooking watch class com.example.App

3.4 Xposed 框架

// Xposed 模块核心
public class HookMain implements IXposedHookLoadPackage {
    public void handleLoadPackage(XC_LoadPackage.LoadPackageParam lpparam) {
        if (!lpparam.packageName.equals("com.target")) return;
        XposedHelpers.findAndHookMethod("com.target.App", lpparam.classLoader,
            "isRooted", new XC_MethodHook() {
                protected void afterHookedMethod(MethodHookParam param) {
                    param.setResult(false);  // 修改返回值
                }
            });
    }
}

Frida vs Xposed： Frida 适合动态快速分析，Xposed 适合长期持久使用。

3.5 游戏引擎逆向

IL2CPP 工作流：

Il2CppDumper libil2cpp.so global-metadata.dat output/
→ dump.cs (类/方法定义) + script.json (地址映射)
→ Frida hook: Module.findBaseAddress("libil2cpp.so").add(RVA)

3.6 反检测绕过

检测分类体系（通用）：

Android 反检测方案：

反外挂系统分析（BattlEye/EAC/Vanguard/VAC 详情） → game-hacking skill references/anti-cheat.md

3.7 Android 脱壳

加固壳会将原始 DEX 加密，运行时才解密加载到内存。需要在运行时 dump。

Frida dump DEX：

Java.perform(function() {
    var PathClassLoader = Java.use("dalvik.system.PathClassLoader");
    PathClassLoader.loadClass.overload('java.lang.String').implementation = function(name) {
        var cls = this.loadClass(name);
        if (name.indexOf("com.target") !== -1) {
            // 触发 dump：遍历 DEX 文件并写出
            console.log("[*] Loaded class: " + name);
        }
        return cls;
    };
});

3.8 网络抓包（免代理方案）

传统代理抓包在 SSL Pinning 场景下无效。以下是免代理方案：

R0capture 使用：

frida -U -f com.target.app -l r0capture.js --no-pause
# 输出 pcap 文件，用 Wireshark 打开

3.9 ADB 高级用法

# App 信息
adb shell dumpsys package com.target.app       # 完整包信息
adb shell dumpsys activity com.target.app       # Activity 信息
adb shell dumpsys meminfo com.target.app        # 内存使用

# 启动组件
adb shell am start -n com.target.app/.LoginActivity
adb shell am start -a android.intent.action.VIEW -d "https://example.com"

# Package Manager
adb shell pm list packages -3                   # 第三方应用
adb shell pm path com.target.app                # APK 路径
adb shell pm dump com.target.app | grep -A5 "permissions"

# Content Provider 查询
adb shell content query --uri content://com.target.app/provider

# 数据备份（需应用允许）
adb backup -f backup.ab com.target.app
# 解包: java -jar abe.jar unpack backup.ab backup.tar

3.10 drozer 安全测试

# 连接设备
adb forward tcp:31415 tcp:31415
drozer console connect

# 信息收集
run app.package.info -a com.target.app          # 包详情
run app.package.attacksurface com.target.app    # 攻击面
run app.package.debuggable com.target.app       # 可调试应用列表

# Content Provider 测试
run scanner.provider.finduris -a com.target.app # 发现可访问 URI
run app.provider.query content://com.target.app/users  # 查询数据

# Activity / Service / Receiver
run app.activity.info -a com.target.app
run app.activity.start --component com.target.app com.target.app.DebugActivity
run app.service.info -a com.target.app
run app.broadcast.info -a com.target.app

3.11 Root 方案对比

Magisk 隐藏链路： Magisk → Zygisk 启用 → DenyList 勾选目标 App → 安装 Shamiko 模块

Play Integrity Fix： Magisk 模块，通过注入 Google Play 服务伪造设备完整性认证，通过 Play Integrity API 检测。

3.12 APK 分析工具补充

# APKiD 识别
pip install apkid
apkid target.apk
# 输出: packer/compiler/obfuscator 信息

# MobSF 自动化分析
# 上传 APK → 自动生成安全报告（权限、API调用、硬编码密钥等）

3.13 SO 文件分析

Native SO 是 Android 逆向的重要目标（加密、签名校验常在 SO 中）。

# 基本信息
file libtarget.so                           # 架构识别
readelf -h libtarget.so                     # ELF 头
readelf -s libtarget.so | grep -i encrypt   # 符号表搜索
readelf -d libtarget.so                     # 动态依赖

# 导出函数（JNI 注册）
readelf -s libtarget.so | grep Java_        # JNI 函数
readelf -s libtarget.so | grep -E "(encrypt|decrypt|sign|verify|key)"

IDA 分析 Android SO：

1. 打开 SO → 选择 ARM/ARM64 架构
2. 搜索字符串: "encrypt", "key", "secret", "JNI"
3. 搜索 JNI_OnLoad → 通常有动态注册和反调试
4. 关注 RegisterNatives 调用 → 动态注册的 native 方法
5. F5 伪代码 → 分析加密逻辑

JNI 函数识别：

静态注册: Java_com_example_App_encrypt → 直接搜索函数名
动态注册: JNI_OnLoad 中 RegisterNatives → 搜索 RegisterNatives 调用

3.14 SSL Pinning 绕过（完整方案）

完整 Frida 脚本、Xposed 模板、IL2CppDumper 流程、脱壳脚本 → references/mobile-re.md

第四部分：协议与接口逆向

4.1 流量捕获

mitmproxy 脚本：

from mitmproxy import http, ctx
class LogAddon:
    def request(self, flow: http.HTTPFlow):
        ctx.log.info(f"[REQ] {flow.request.method} {flow.request.url}")
    def response(self, flow: http.HTTPFlow):
        ctx.log.info(f"[RSP] {flow.response.status_code}")

4.2 协议结构分析

识别模式：

┌──────────┬──────────┬──────────────────────┐
│  Header  │  Length  │     Payload          │
│ (固定)    │ (变长)    │  (Length 指定)        │
└──────────┴──────────┴──────────────────────┘

长度字段: 固定长度 / TLV / 分隔符 / 长度前缀
字节序: 大端(网络标准) / 小端(x86)

Python struct 解析：

import struct
msg_type, msg_len = struct.unpack('>HH', data[:4])  # 大端 2x16位
payload = data[4:4+msg_len]

4.3 序列化格式逆向

Protobuf 逆向（无需 .proto）：

import blackboxprotobuf
data = open('sample.bin', 'rb').read()
message, typedef = blackboxprotobuf.decode_message(data)

gRPC 反射：

grpcurl -plaintext localhost:50051 list              # 列出服务
grpcurl -plaintext localhost:50051 describe pkg.Svc  # 描述服务

4.4 协议重放

from scapy.all import *
pkt = IP(dst="10.0.0.1") / TCP(dport=8080) / Raw(load=b"\x01\x00\x05hello")
resp = sr1(pkt)

4.5 协议文档化

字段表模板：

| 偏移 | 长度 | 类型 | 字段名 | 说明 |
|------|------|------|--------|------|
| 0x00 | 2 | uint16 BE | msg_type | 消息类型 |
| 0x02 | 2 | uint16 BE | msg_len | 数据长度 |

Wireshark 过滤器、Scapy 示例、Protobuf 详解、Lua dissector 模板 → references/protocol-re.md

统一工具速查表

静态分析

动态分析

网络分析

Web 分析

加密/编码

移动安全测试

安全测试（Web）

常见错误

Web 逆向

二进制逆向

移动端逆向

协议逆向

速查表