Disponibilidade de material de suporte

Este texto do catálogo contém as orientações inline abaixo, mas não inclui os seguintes caminhos de suporte. São pré-requisitos externos, não arquivos agrupados:

• <support-root>/scripts/recon.ps1
• reverse-engineering/references/re-agent-workflow.md

Obtenha o material necessário da fonte upstream declarada, ou de uma instalação fornecida pelo usuário dessa fonte. Resolva cada caminho relativo a essa instalação, inspecione seu conteúdo e verifique quaisquer licenças e pré-requisitos de execução aplicáveis. Não execute um comando ou reivindique que um procedimento referenciado foi seguido até que seu arquivo necessário exista. Não fabrique os scripts ausentes nem trate um arquivo não relacionado com o mesmo nome como equivalente. Etapas independentes totalmente documentadas aqui podem prosseguir dentro do escopo autorizado do usuário; relate qualquer etapa dependente como indisponível.

radare2

Quando Usar

• Análise rápida de binários baseada em terminal sem um IDE pesado.
• Desmontagem scriptável, comparação ou pequenos patches em binários.

Análise de binários para a CLI do radare2. O foco é realizar reconhecimento, análise, localização, exportação e modificações leves diretamente pela linha de comando, sem depender de GUI.

Escopo de Aplicação

Esta habilidade deve ser priorizada quando o usuário tiver as seguintes intenções:

• Para analisar arquivos como r2 / radare2, exe, dll, so, elf, apk, dex, wasm, etc.
• Perguntar como usar rabin2, rasm2, radiff2, rahash2, rax2
• Necessidade de desmontagem em linha de comando, visualização de funções, visualização de strings, visualização de importações/exportações, consulta de referências cruzadas, aplicação de patches.
• Necessidade de escrever comandos de processamento em lote radare2, comandos de automação -c ou scripts r2pipe.

Se o usuário explicitamente desejar engenharia reversa com GUI, pseudocódigo estilo Hex-Rays, ou fluxo de trabalho IDA, priorize ida-reverse. Se for engenharia reversa de JavaScript de páginas web, priorize reverse-engineering.

Confirmação de Ambiente Primeiro

Não assuma que r2 está disponível. Verifique primeiro:

r2 -v
rabin2 -v

Se não estiver instalado, verifique os locais de instalação comuns ou solicite a instalação.

Executáveis comuns no Windows:

• radare2.exe
• rabin2.exe
• rasm2.exe
• radiff2.exe
• rahash2.exe
• rax2.exe
• r2pm.exe

Recursos Integrados

Esta habilidade vem com dois recursos, priorize o reuso, não organize um conjunto repetitivo de comandos temporariamente a cada vez.

scripts/recon.ps1

Script de reconhecimento padrão, adequado para uma primeira rodada de análise geral. Ele irá gerar:

• Informações básicas
• Seções
• Importações
• Exportações
• Strings
• Um resumo opcional de análise automática r2 -A

Modo de chamada:

powershell -File "<skill-root>\radare2\scripts\recon.ps1" -TargetPath "C:\path\to\sample.exe"

Se precisar de análise automática com r2:

powershell -File "<skill-root>\radare2\scripts\recon.ps1" -TargetPath "C:\path\to\sample.exe" -RunAnalysis

references/cheatsheet.md

Quando precisar de mais detalhes de comandos, modelos de cenários comuns ou quiser relembrar rapidamente a sintaxe, leia esta tabela de consulta rápida em vez de adivinhar de memória.

Fenômenos Conhecidos

Alerta de Ausência de .sdb Ocasional no Windows

Alguns arquivos PE, durante o reconhecimento com rabin2, podem exibir um alerta semelhante a este:

ERROR: Cannot find ...\share\format\dll\*.sdb

Se a saída principal ainda retornar normalmente, geralmente não afeta as conclusões básicas de reconhecimento, continue a análise. Não julgue a análise como falha apenas por causa desses alertas secundários.

Princípios Básicos

1. Reconhecer Primeiro, Aprofundar Depois

Não faça análise automática completa logo de cara. Use comandos leves para confirmar o tipo de arquivo, arquitetura, ponto de entrada, strings, tabela de importação, e então decida se fará aaa, aaaa ou análise direcionada.

2. Priorize o Comando Mínimo Suficiente

Existem muitos comandos no radare2, o usuário geralmente precisa apenas do caminho mais curto:

• Ver informações do arquivo: rabin2 -I
• Ver strings: rabin2 -z
• Ver importações/exportações: rabin2 -i / rabin2 -E
• Análise interativa: r2 <file> e depois execute comandos locais

3. Seja Cauteloso Antes de Modificar

Se o usuário for aplicar patches em um binário:

• Abra em modo somente leitura por padrão: r2 <file>
• Use o modo de escrita apenas quando for explicitamente necessário modificar: r2 -w <file> ou oo+ na sessão
• Informe os riscos antes de modificar para evitar sobrescrever o arquivo original acidentalmente.

Fluxos de Trabalho Comuns

Fluxo de Trabalho 1: Reconhecimento Rápido

Adequado ao receber um novo arquivo binário.

Porta de Entrada Obrigatória (MUST — Não cumprir impede o acesso aos fluxos de trabalho 2 e posteriores)

Para binários com tabelas de importação como PE/ELF/Mach-O, DEVE primeiro completar a verificação da tabela de importação e registrar como Evidência, antes de prosseguir para análise em nível de função ou etapas dinâmicas:

1. Execute rabin2 -i <sample> (ou o segmento de imports na saída de recon.ps1); para DLL/SYS, DEVE também executar rabin2 -E e registrar E-exports.
2. Grave o resultado completo/classificado da tabela de importação na Evidência (sugestão de ID: E-imports ou E-triage-imports), contendo pelo menos:
   • Comando de reprodução (repro_command)
   • Resumo da classificação das importações chave: Rede / Arquivo / Criptografia / Injeção de Processo / Registro / Outras APIs suspeitas
   • Se a tabela de importação estiver vazia, falhar na análise ou o ferramenta apresentar erro: DEVE ainda registrar o fenômeno de falha e a saída original como Evidência, não pular silenciosamente.
   • Tabela de importação "muito limpa" (apenas DLLs básicas): DEVE indicar suspeita de carregamento dinâmico, DEVE migrar para captura de API dinâmica.
3. Para .NET e outros sem IAT tradicional: DEVE usar pontos de ancoragem equivalentes (dnSpy/IL/resumo de metadados) gravados no mesmo slot semântico da Evidência, proibido pular em branco.
4. Correção de IAT para amostras empacotadas: Use ImportREC (ou equivalente) para x86, Scylla (ou equivalente) para x64. Se a correção falhar, DEVE registrar E-iat-repair-fail e migrar para breakpoints de API dinâmicos; proibido insistir indefinidamente na IAT estática (ver reverse-engineering/references/re-agent-workflow.md §1.2).
5. Quando o usuário solicitar explicitamente "refazer a verificação da tabela de importação / verificar novamente a tabela de importação / refazer IAT": DEVE refazer a etapa solicitada em si (se bloqueado, primeiro passar pelo portão de viabilidade: explicar premissas + pedir confirmação; se for forçado, marcar quality=unreadable), proibido substituir por uma etapa irrelevante fingindo ter sido concluída.

Antes de registrar a Evidência da tabela de importação (ou ponto de ancoragem legal equivalente / bypass de falha de IAT): NÃO DEVE declarar "reconhecimento básico concluído", NÃO DEVE prosseguir para conclusões de aprofundamento dos fluxos de trabalho 2+.

Priorize a execução direta do script integrado:

powershell -File "<skill-root>\radare2\scripts\recon.ps1" -TargetPath "sample.exe"

Se precisar apenas do comando mínimo manual, use:

rabin2 -I sample.exe
rabin2 -z sample.exe
rabin2 -i sample.exe
rabin2 -E sample.exe

Pontos de atenção:

• Formato do arquivo, arquitetura (32/64 bits), arquitetura, plataforma.
• Endereço do ponto de entrada.
• Strings suspeitas: URLs, caminhos, erros, registros, parâmetros de linha de comando.
• Funções de importação: Rede, arquivo, criptografia, injeção de processo, operações de registro (DEVE registrar na Evidência, ver porta de entrada obrigatória acima).

Fluxo de Trabalho 2: Análise Interativa de Funções

r2 sample.exe

Comumente usado após entrar:

aaa          # 常规自动分析
afl          # 列出函数
iz           # 列出字符串
iS           # 列节区
is           # 列符号
s entry0     # 跳到入口点
pdf          # 反汇编当前函数
VV           # 进入可视化模式（如果终端适合）
q            # 退出

Explicação:

• Priorize aaa por padrão, não use aaaa mais pesado logo no início.
• Se a amostra for grande ou a análise lenta, você pode analisar apenas perto do ponto de entrada e expandir manualmente.

Fluxo de Trabalho 3: Localizar main / Lógica Chave

afl~main
afl~sym.
iz~http
iz~error
axt <addr>

Ideia:

• Comece a partir de main, ponto de entrada, referências de string.

…