逆向工程入门指南

什么是逆向工程

逆向工程（Reverse Engineering）是在没有源码的情况下，通过分析编译后的二进制文件，理解程序的功能、逻辑和数据结构的技术。

两种核心方法

能做什么

• 分析程序的加密算法实现（AES / RSA 密钥流程）
• 理解网络协议（App 和服务器之间的通信格式）
• 发现安全漏洞（缓冲区溢出、逻辑漏洞）
• 分析恶意软件行为（病毒、木马的运作方式）
• 恢复丢失源码的老旧系统逻辑
• CTF 安全竞赛中的 Reverse 题目

逆向工具全景

Ghidra 使用教程

1. 启动 Ghidra

# macOS 启动命令
/Applications/ghidra_12.0.4_PUBLIC/ghidraRun

# 需要 JDK 21（已安装）
java -version

2. 创建项目

1. 启动后选择 File → New Project
2. 选择 Non-Shared Project（单人项目）
3. 选一个目录存放项目文件，起个名字

3. 导入二进制文件

1. 点 File → Import File，选择要分析的可执行文件
2. Ghidra 会自动识别文件格式（ELF / Mach-O / PE）
3. 双击导入的文件，打开 CodeBrowser（主分析界面）
4. 弹出提示问是否自动分析 → 点 Yes，等待分析完成

4. 核心界面说明

5. 常用操作

6. 分析一个程序的典型步骤

Frida 使用教程

1. 基本概念

Frida 是一个动态插桩工具 — 它能在程序运行时注入 JavaScript 代码，拦截（Hook）任意函数，查看参数、修改返回值。

2. 常用命令

# 列出当前运行的进程
frida-ps

# 列出 USB 设备上的进程（手机）
frida-ps -U

# 附加到一个正在运行的进程
frida -n "Safari"

# 跟踪某个 App 的 ObjC 方法调用
frida-trace -m "-[NSURLSession dataTaskWithRequest:*]" -n "Safari"

3. 编写 Hook 脚本

新建一个 hook.js 文件：

// hook.js — 拦截 macOS 上的文件打开操作
Interceptor.attach(Module.findExportByName(null, "open"), {
    onEnter: function(args) {
        // 打印每次打开的文件路径
        console.log("[open] " + Memory.readUtf8String(args[0]));
    },
    onLeave: function(retval) {
        // 打印返回的文件描述符
        console.log("  → fd = " + retval);
    }
});

# 运行 Hook 脚本
frida -n "目标进程名" -l hook.js

4. Hook ObjC 方法（macOS / iOS）

// 拦截 NSURLRequest，查看所有网络请求的 URL
var NSURLRequest = ObjC.classes.NSURLRequest;

Interceptor.attach(NSURLRequest["- URL"].implementation, {
    onLeave: function(retval) {
        var url = new ObjC.Object(retval);
        console.log("[Request] " + url.absoluteString());
    }
});

5. 实用场景

工具深度对比

反编译准确率

全面对比

实战工作流

完整逆向分析流程

file target_binary
strings target_binary | grep -i "password\|key\|token"

macOS 程序分析示例

# 1. 查看 macOS App 的二进制文件
file /Applications/Calculator.app/Contents/MacOS/Calculator

# 2. 查看它链接了哪些系统库
otool -L /Applications/Calculator.app/Contents/MacOS/Calculator

# 3. 导出 ObjC 类名（macOS 程序特有）
class-dump /Applications/Calculator.app/Contents/MacOS/Calculator

# 4. 用 Frida 查看计算器运行时调用了哪些方法
frida-trace -m "-[* *calculate*]" -n "Calculator"

法律须知

合法场景

• CTF 比赛 — 专门提供的逆向题目，完全合法
• 安全研究 — 发现漏洞并负责任披露
• 自有软件调试 — 分析自己开发的程序
• 互操作性 — 为了软件兼容而做的逆向（很多国家法律允许）
• 恶意软件分析 — 安全公司分析病毒样本
• 学术研究 — 计算机科学教学目的

违法场景

• 制售破解软件 — 刑法 217 条，可判 3-10 年
• 开发外挂 — 破坏计算机信息系统罪
• 盗取商业秘密 — 逆向后抄袭核心算法
• 非法入侵 — 未授权访问他人系统

相关法律

学习资源

入门练习

社区

• 看雪论坛 (kanxue.com) — 国内最大逆向安全社区
• 吾爱破解 (52pojie.cn) — 逆向学习交流
• r/ReverseEngineering — Reddit 逆向板块