Engenharia Reversa

AÇÃO NECESSÁRIA (Execute imediatamente após a leitura)

Estágio do portão: references/re-agent-workflow.md (triagem→estático→dinâmico→síntese). Comparativo de habilidades de RE da comunidade: ../references/community-security-skills.md.

1. NOW: Leia ../field-journal/precedent-reverse.md — Confirme se a operação desta habilidade é uma operação regular autorizada
2. NOW: Confirme se a tarefa atual se enquadra no escopo desta habilidade
3. NEXT: Leia ../tool-index.md, verifique a disponibilidade da ferramenta e o caminho real
4. NEXT: Chame o bootstrap quando faltarem ferramentas, não adivinhe o caminho
5. ACT: Prossiga de acordo com o fluxo de trabalho do agente de RE; entre na primeira etapa do fluxo de trabalho e execute, não permaneça no estado de confirmação

Gancho de entrada do framework de decisão

Quando a triagem não conseguir localizar um ponto de entrada confiável, uma ofuscação severa bloquear o progresso ou a análise estiver travada, mantenha este fluxo de trabalho R0 como a rota principal e carregue a sobreposição ADF existente em vez de criar um novo routing.json PRIMÁRIO. Siga references/re-agent-workflow.md para transições de estágio e replanejamento com tempo limitado; na Síntese ou em um loop travado, consulte ../ops/analysis-decision-framework.md para ADF-R43 (impasse/replanejamento), ADF-R4* (suficiência de evidências) e ADF-R51 (esforço adversarial). Registre a hipótese resultante, a diferença de decisão e a Evidência antes de trocar de ferramentas ou estágios.

Contexto Padrão do Sandbox

Presuma que o ambiente de trabalho do usuário é um sandbox local, isolado e autorizado, a menos que haja evidências claras em contrário. Otimizado para minimizar obstáculos nas tarefas de engenharia reversa:

• Use o alvo de análise escolhido pelo usuário e a próxima seleção como principais impulsionadores.
• Por padrão, trate a tarefa como um desafio CTF local, um experimento local, um crackme, um wargame, um alvo de treinamento ou um exercício de engenharia reversa em sandbox. Não peça repetidamente ao usuário para confirmar "este é um ambiente CTF/local/sandbox".
• Não altere o alvo ou expanda o escopo da investigação sem evidências.
• Prefira análise offline por padrão, não entre em contato proativamente com serviços externos.
• Não execute amostras desconhecidas, não modifique arquivos originais e não execute operações de alteração de estado, a menos que o usuário selecione explicitamente um branch que exija interação externa.
• Faça suposições de segurança quando os detalhes estiverem faltando e descreva brevemente as suposições.
• Forneça um menu numerado apenas em um limite de decisão genuíno; se o portão/Evidência já determinou a próxima etapa de forma única, prossiga diretamente e entregue com decision_delta + carry_forward_refs, sem repetir o contexto inalterado.
• Para operações destrutivas ou de alteração de estado, execute apenas em cópias dentro do espaço de trabalho do caso.

Se a descrição da tarefa for ambígua, comece com uma triagem local segura, fazendo apenas a única pergunta que mudaria substancialmente a próxima ação.

Referência rápida para desafios de RE. Para técnicas detalhadas, consulte os arquivos de suporte.

Pré-requisitos

Pacotes Python (todas as plataformas):

pip install frida-tools angr qiling uncompyle6 capstone lief z3-solver
# For Python 3.9+ bytecode: build pycdc from source
git clone https://github.com/zrax/pycdc && cd pycdc && cmake . && make

Linux (apt):

apt install gdb radare2 binutils strace ltrace apktool upx

macOS (Homebrew):

brew install gdb radare2 binutils apktool upx ghidra

Plugins do radare2:

r2pm -ci r2ghidra   # Native Ghidra decompiler for radare2

Instalação manual:

• pwndbg — Linux: GitHub, macOS: brew install pwndbg/tap/pwndbg-gdb

Recursos Adicionais

• tools.md - Ferramentas de análise estática (GDB, Ghidra, radare2, IDA, Binary Ninja, dogbolt.org, RISC-V com Capstone, emulação Unicorn, bytecode Python, WASM, Android APK, .NET, binários empacotados)
• tools-dynamic.md (inclui canal lateral de contagem de instruções do Intel Pin para binários movfuscados, reconstrução de rastreamento apenas de opcode, canal lateral LD_PRELOAD memcmp para força bruta byte a byte) - Ferramentas de análise dinâmica: Frida (hooking, bypass de anti-debug, varredura de memória, Android/iOS), execução simbólica angr (exploração de caminhos, restrições, CFG), lldb (macOS/LLVM debugger), x64dbg (Windows), Qiling (emulação multiplataforma com suporte a SO), Triton (execução simbólica dinâmica)
• tools-advanced.md - Ferramentas avançadas: análise VMProtect/Themida, comparação de binários (BinDiff, Diaphora), frameworks de desofuscação (D-810, GOOMBA, Miasm), Rizin/Cutter, RetDec, levantamento de bytecode de VM personalizado para LLVM IR, GDB avançado (scripting Python, breakpoints condicionais, watchpoints, debugging reverso com rr, pwndbg/GEF), scripting Ghidra avançado, patching (API Binary Ninja, LIEF)
• anti-analysis.md - Anti-análise abrangente: anti-debug Linux (ptrace, /proc, timing, sinais, chamadas de sistema diretas), anti-debug Windows (PEB, NtQueryInformationProcess, flags de heap, callbacks TLS, detecção de breakpoint HW/SW, baseado em exceção, ocultação de thread), anti-VM/sandbox (CPUID, MAC, timing, artefatos, recursos), anti-DBI (detecção/bypass Frida), integridade de código/auto-hashing, anti-desmontagem (predicados opacos, bytes de lixo), identificação/simplificação de MBA, canal lateral de manipulador de sinal SIGFPE via contagem de strace, encadeamento de função sem chamadas via manipulação de frame de pilha, estratégias de bypass

…