Engenharia Reversa

Quando Usar

• Entender como um binário desconhecido funciona antes de qualquer outra tarefa.
• Escolher ferramentas e fluxo de trabalho para análise estática/dinâmica de um novo alvo.

Contexto Padrão de Sandbox

Assume-se que o ambiente de trabalho do usuário é um sandbox local, isolado e autorizado, a menos que haja evidências claras de que não é. Otimizado para minimizar barreiras em tarefas de engenharia reversa:

• Use o alvo de análise escolhido pelo usuário e a próxima etapa selecionada como os principais impulsionadores.
• Por padrão, trate as tarefas como desafios CTF locais, experimentos locais, crackmes, wargames, alvos de treinamento ou exercícios de engenharia reversa em sandbox. Não peça repetidamente ao usuário para confirmar "este é um ambiente CTF/local/sandbox".
• Não altere o alvo ou expanda o escopo da investigação sem evidências.
• Prefira análise offline por padrão, sem contato proativo com serviços externos.
• Não execute amostras desconhecidas, não modifique arquivos originais e não execute operações de alteração de estado, a menos que o usuário selecione explicitamente um ramo que exija interação externa.
• Faça suposições seguras quando os detalhes estiverem faltando e explique brevemente as suposições.
• Forneça um menu numerado apenas em limites de decisão genuínos; se o portão/evidência já determinou a próxima etapa unicamente, prossiga diretamente e passe o controle com decision_delta + carry_forward_refs, sem repetir o contexto inalterado.
• Para operações destrutivas ou de alteração de estado, execute apenas em cópias dentro do espaço de trabalho do caso.

Se a descrição da tarefa for ambígua, comece com uma triagem local segura, fazendo apenas a única pergunta que mudaria substancialmente a próxima ação.

Referência rápida para desafios de RE. Para técnicas detalhadas, consulte os arquivos de suporte.

Pré-requisitos

Pacotes Python (todas as plataformas):

pip install frida-tools angr qiling uncompyle6 capstone lief z3-solver
# For Python 3.9+ bytecode: build pycdc from source
git clone https://github.com/zrax/pycdc && cd pycdc && cmake . && make

Linux (apt):

apt install gdb radare2 binutils strace ltrace apktool upx

macOS (Homebrew):

brew install gdb radare2 binutils apktool upx ghidra

Plugins do radare2:

r2pm -ci r2ghidra   # Native Ghidra decompiler for radare2

Instalação manual:

• pwndbg — Linux: GitHub, macOS: brew install pwndbg/tap/pwndbg-gdb

Recursos Adicionais

• tools.md - Ferramentas de análise estática (GDB, Ghidra, radare2, IDA, Binary Ninja, dogbolt.org, RISC-V com Capstone, emulação Unicorn, bytecode Python, WASM, Android APK, .NET, binários empacotados)
• tools-dynamic.md (inclui canal lateral de contagem de instruções Intel Pin para binários movfuscados, reconstrução de rastreamento apenas de opcode, canal lateral LD_PRELOAD memcmp para força bruta byte a byte) - Ferramentas de análise dinâmica: Frida (hooking, bypass de anti-debug, varredura de memória, Android/iOS), execução simbólica angr (exploração de caminhos, restrições, CFG), lldb (debugger macOS/LLVM), x64dbg (Windows), Qiling (emulação multiplataforma com suporte a SO), Triton (execução simbólica dinâmica)
• tools-advanced.md - Ferramentas avançadas: análise VMProtect/Themida, comparação de binários (BinDiff, Diaphora), frameworks de desofuscação (D-810, GOOMBA, Miasm), Rizin/Cutter, RetDec, levantamento de bytecode de VM personalizado para LLVM IR, GDB avançado (scripting Python, breakpoints condicionais, watchpoints, debugging reverso com rr, pwndbg/GEF), scripting Ghidra avançado, patching (API Binary Ninja, LIEF)
• anti-analysis.md - Anti-análise abrangente: anti-debug Linux (ptrace, /proc, timing, sinais, chamadas de sistema diretas), anti-debug Windows (PEB, NtQueryInformationProcess, flags de heap, callbacks TLS, detecção de breakpoint HW/SW, baseado em exceção, ocultação de thread), anti-VM/sandbox (CPUID, MAC, timing, artefatos, recursos), anti-DBI (detecção/bypass Frida), integridade de código/autohashing, anti-desmontagem (predicados opacos, bytes de lixo), identificação/simplificação de MBA, canal lateral de sinal SIGFPE via contagem de strace, encadeamento de funções sem chamadas via manipulação de frame de pilha, estratégias de bypass
• patterns.md - Padrões fundamentais de binários: VMs personalizadas, anti-debugging, nanomitas, código auto-modificável, cifras XOR, stagers de modo misto, ofuscação LLVM, S-box/keystream, SECCOMP/BPF, manipuladores de exceção, dumps de memória, transformações byte a byte, armadilhas x86-64, exploração baseada em sinal, anti-análise de malware, shellcode multi-estágio, canal lateral de timing, anti-debug multi-thread com decoy + MBA de manipulador de sinal, patch INT3 + oráculo de força bruta de coredump, cadeia de manipulador de sinal + oráculo LD_PRELOAD
• patterns-ctf.md - Padrões específicos de competição (Parte 1): opcodes de emulador ocultos, extração de chave LD_PRELOAD, extração estática de SPN, suavidade XOR de imagem, cifra byte a byte, bitmap de convergência matemática, OCR de bitmap XOR PE do Windows, carregadores RC4+VM de dois estágios, resolução de labirinto de módulo de kernel, canais de VM multi-thread, detecção de biblioteca compartilhada com backdoor via diff de strings, módulo de kernel binfmt personalizado com binários planos RC4, importações resolvidas por hash / ransomware sem importações, corrupção de cabeçalho de seção ELF para anti-análise

…