opencode-skills-collection 4.0.43 → 4.0.44

package/bundled-skills/reverse-engineering/references/awesome-re-resources.md

@@ -0,0 +1,135 @@
+# 逆向工程参考资源汇总
+
+> 精选自多个 awesome 列表，按实用性排序。AI 在逆向分析时可参考这些资源获取方法论和工具指导。
+
+---
+
+## 综合资源库
+
+| 项目 | Stars | 覆盖 | 链接 |
+|------|-------|------|------|
+| **awesome-reversing** (tylerha97) | 3k+ | 逆向工具/书籍/课程/练习 | https://github.com/tylerha97/awesome-reversing |
+| **awesome-reverse-engineering** (alphaSeclab) | 4k+ | 3500+ 工具 + 2300 文章，全平台 | https://github.com/alphaSeclab/awesome-reverse-engineering |
+| **Reverse-Engineering** (mytechnotalent) | 10k+ | 免费教程：x86/x64/ARM/AVR/RISC-V | https://github.com/mytechnotalent/Reverse-Engineering |
+| **awesome-malware-analysis** (rshipp) | 12k+ | 恶意软件分析工具/资源 | https://github.com/rshipp/awesome-malware-analysis |
+| **reversingBits** | — | 逆向/二进制分析速查表合集 | https://github.com/mohitmishra786/reversingBits |
+| **awesome-arm-exploitation** | — | ARM 利用资源（视频/文章/书籍） | https://github.com/HenryHoggard/awesome-arm-exploitation |
+| **Binary-Analysis-Automation** | — | 自动化二进制分析（ML/脚本/静态/动态） | https://github.com/user1342/Awesome-Binary-Analysis-Automation |
+
+---
+
+## ELF / Linux 逆向专项
+
+| 资源 | 说明 | 链接 |
+|------|------|------|
+| **libelfmaster** | 安全 ELF 解析库（取证/恶意软件重建） | https://github.com/elfmaster/libelfmaster |
+| **ELF 规范** | 官方 ELF 格式文档 | https://refspecs.linuxfoundation.org/elf/elf.pdf |
+| **Linux Internals** | /proc 文件系统、内存布局、syscall | https://0xax.gitbooks.io/linux-insides/ |
+| **Compiler Explorer** | 在线看 C/C++/Rust/Go 编译成什么汇编 | https://godbolt.org/ |
+
+---
+
+## ARM / AArch64 专项
+
+| 资源 | 说明 | 链接 |
+|------|------|------|
+| **ARM 官方架构手册** | 完整指令集参考 | https://developer.arm.com/documentation |
+| **Azeria Labs** | ARM 汇编/利用教程（最佳入门） | https://azeria-labs.com/writing-arm-assembly-part-1/ |
+| **ARM64 syscall 表** | Linux AArch64 系统调用号 | https://arm64.syscall.sh/ |
+| **QEMU 用户态模拟** | 不需要真实设备分析 ARM 二进制 | `qemu-aarch64 -strace ./binary` |
+
+---
+
+## 恶意软件分析
+
+| 资源 | 说明 | 链接 |
+|------|------|------|
+| **YARA** | 恶意软件特征匹配规则 | https://github.com/VirusTotal/yara |
+| **Volatility 3** | 内存取证框架 | https://github.com/volatilityfoundation/volatility3 |
+| **FLOSS** | 自动提取混淆字符串 | https://github.com/mandiant/flare-floss |
+| **Detect It Easy (DiE)** | 文件类型/壳/编译器识别 | https://github.com/horsicq/Detect-It-Easy |
+| **PE-bear** | PE 文件分析器 | https://github.com/hasherezade/pe-bear |
+| **Capa** | 自动识别二进制能力（网络/文件/加密等） | https://github.com/mandiant/capa |
+| **Unpacker** | 通用脱壳框架 | https://github.com/malwaretech/UnpackerFramework |
+
+---
+
+## 动态分析 / 沙箱
+
+| 资源 | 说明 | 链接 |
+|------|------|------|
+| **Frida** | 跨平台动态插桩 | https://frida.re/ |
+| **strace** | Linux 系统调用跟踪 | 系统自带 |
+| **ltrace** | 库函数调用跟踪 | 系统自带 |
+| **QEMU** | 用户态/系统态模拟 | https://www.qemu.org/ |
+| **Unicorn** | CPU 模拟框架（可编程） | https://www.unicorn-engine.org/ |
+| **Qiling** | 高级二进制模拟框架 | https://qiling.io/ |
+| **angr** | 符号执行 + 二进制分析 | https://angr.io/ |
+| **Triton** | 动态二进制分析框架 | https://triton-library.github.io/ |
+
+---
+
+## 反混淆 / 脱壳
+
+| 资源 | 说明 | 链接 |
+|------|------|------|
+| **UPX** | 最常见的壳，`upx -d` 脱壳 | https://upx.github.io/ |
+| **unipacker** | 通用 PE 脱壳器 | https://github.com/unipacker/unipacker |
+| **de4dot** | .NET 反混淆 | https://github.com/de4dot/de4dot |
+| **JADX** | Android DEX 反混淆 | https://github.com/skylot/jadx |
+| **JEB** | 商业 Android/ARM 反编译器 | https://www.pnfsoftware.com/ |
+| **Miasm** | 逆向工程框架（IR/符号执行/反混淆） | https://github.com/cea-sec/miasm |
+| **OLLVM 反混淆** | 控制流平坦化/虚假控制流对抗 | 用 angr/Triton 符号执行恢复 |
+
+---
+
+## 在线分析平台
+
+| 平台 | 说明 | 链接 |
+|------|------|------|
+| **VirusTotal** | 多引擎扫描 + 行为分析 | https://www.virustotal.com/ |
+| **Joe Sandbox** | 自动化恶意软件分析 | https://www.joesandbox.com/ |
+| **ANY.RUN** | 交互式在线沙箱 | https://any.run/ |
+| **Hybrid Analysis** | 免费恶意软件分析 | https://www.hybrid-analysis.com/ |
+| **Compiler Explorer** | 看编译器输出 | https://godbolt.org/ |
+| **Dogbolt** | 多反编译器对比（IDA/Ghidra/Binary Ninja） | https://dogbolt.org/ |
+
+---
+
+## 学习路径
+
+### 入门（0-3 个月）
+
+1. [Reverse Engineering for Beginners](https://beginners.re/) — 免费电子书
+2. [Azeria Labs ARM 教程](https://azeria-labs.com/) — ARM 汇编基础
+3. [Nightmare](https://guyinatuxedo.github.io/) — CTF 逆向/Pwn 教程
+4. [crackmes.one](https://crackmes.one/) — 逆向练习题
+
+### 进阶（3-12 个月）
+
+1. [Practical Binary Analysis](https://practicalbinaryanalysis.com/) — 实战二进制分析
+2. [The IDA Pro Book](https://nostarch.com/idapro2.htm) — IDA 深度使用
+3. [Malware Unicorn RE101](https://malwareunicorn.org/workshops/re101.html) — 恶意软件逆向
+4. [pwnable.kr](http://pwnable.kr/) / [pwnable.tw](https://pwnable.tw/) — Pwn 练习
+
+### 高级
+
+1. [Modern Binary Exploitation](https://github.com/RPISEC/MBE) — RPI 课程
+2. [How to Hack Like a Ghost](https://nostarch.com/how-hack-ghost) — 高级渗透
+3. [Windows Internals](https://docs.microsoft.com/en-us/sysinternals/) — Windows 内核
+4. 实战：分析真实恶意软件样本（MalwareBazaar）
+
+---
+
+## 速查表
+
+| 速查表 | 链接 |
+|--------|------|
+| x86/x64 指令速查 | https://www.felixcloutier.com/x86/ |
+| ARM64 指令速查 | https://developer.arm.com/documentation/ddi0602/latest |
+| Linux syscall 表 (x64) | https://blog.rchapman.org/posts/Linux_System_Call_Table_for_x86_64/ |
+| Linux syscall 表 (ARM64) | https://arm64.syscall.sh/ |
+| GDB 速查 | https://darkdust.net/files/GDB%20Cheat%20Sheet.pdf |
+| radare2 速查 | 本包 `radare2/references/cheatsheet.md` |
+| IDA 快捷键 | https://hex-rays.com/products/ida/support/freefiles/IDA_Pro_Shortcuts.pdf |
+| Ghidra 快捷键 | Ghidra 内置 Help → Keyboard Shortcuts |

package/bundled-skills/reverse-engineering/references/crypto-decode-tools.md

@@ -0,0 +1,220 @@
+# 加解密 / 编解码工具速查
+
+> 逆向和 CTF 中经常遇到加密/编码/哈希数据。本文档按场景列出最实用的工具。
+
+---
+
+## 自动识别 + 解密（不知道用了什么加密时）
+
+| 工具 | Stars | 用途 | 链接 |
+|------|-------|------|------|
+| **Ciphey** | 18k+ | AI 自动识别并解密（支持 50+ 编码/加密/哈希） | https://github.com/Ciphey/Ciphey |
+| **CyberChef** | 29k+ | 在线/离线编解码瑞士军刀（拖拽式操作） | https://github.com/gchq/CyberChef |
+| **dcode.fr** | — | 在线 900+ 密码/编码/数学工具 | https://www.dcode.fr/ |
+
+### Ciphey 使用
+
+```bash
+pip install ciphey
+# 自动检测并解密
+ciphey -t "密文"
+# 从文件读取
+ciphey -f encrypted.txt
+```
+
+Ciphey 支持：Base64/32/16、Caesar、Vigenere、XOR、AES（弱密钥）、Morse、Binary、Hex、URL encoding、HTML entities、哈希识别等。
+
+### CyberChef 使用
+
+```text
+在线版：https://gchq.github.io/CyberChef/
+离线版：下载 GitHub Release 的 HTML 文件直接打开
+
+常用 Recipe：
+- From Base64 → 解 Base64
+- XOR → 异或解密（可暴力尝试 key）
+- AES Decrypt → AES 解密
+- Magic → 自动检测编码类型
+```
+
+---
+
+## 哈希识别与破解
+
+| 工具 | 用途 | 链接 |
+|------|------|------|
+| **hashID** | 识别哈希类型（MD5/SHA/bcrypt 等） | https://github.com/psypanda/hashID |
+| **hash-identifier** | 同上，Python 版 | https://github.com/blackploit/hash-identifier |
+| **haiti** | 现代哈希识别工具（更准确） | `gem install haiti` |
+| **Hashcat** | GPU 哈希破解 | https://hashcat.net/ |
+| **John the Ripper** | CPU 哈希破解 | https://www.openwall.com/john/ |
+| **hashes.com** | 在线哈希查询（彩虹表） | https://hashes.com/ |
+
+```bash
+# 识别哈希类型
+hashid '5f4dcc3b5aa765d61d8327deb882cf99'
+# 输出: [+] MD5
+
+# haiti（更准确）
+haiti '5f4dcc3b5aa765d61d8327deb882cf99'
+
+# Hashcat 破解
+hashcat -m 0 hash.txt rockyou.txt  # MD5
+hashcat -m 1000 hash.txt rockyou.txt  # NTLM
+```
+
+---
+
+## RSA 攻击
+
+| 工具 | 用途 | 链接 |
+|------|------|------|
+| **RsaCtfTool** | RSA 自动攻击（20+ 攻击方式） | https://github.com/Ganapati/RsaCtfTool |
+| **SageMath** | 数学计算（大数分解/椭圆曲线） | https://www.sagemath.org/ |
+| **factordb.com** | 在线大数分解查询 | http://factordb.com/ |
+| **yafu** | 本地大数分解 | https://github.com/bbuhrow/yafu |
+
+```bash
+# RsaCtfTool 自动攻击
+python RsaCtfTool.py --publickey pub.pem --private
+python RsaCtfTool.py --publickey pub.pem --uncipherfile cipher.txt
+
+# 支持的攻击：
+# Wiener、Boneh-Durfee、Fermat、Pollard p-1、Williams p+1
+# Common modulus、Small q、Hastads、Noveltyprimes 等
+```
+
+---
+
+## XOR 分析
+
+| 工具 | 用途 | 链接 |
+|------|------|------|
+| **xortool** | XOR 密钥长度猜测 + 已知明文攻击 | https://github.com/hellman/xortool |
+| **CyberChef XOR** | 可视化 XOR 操作 | CyberChef 内置 |
+
+```bash
+# 猜测 XOR key 长度
+xortool encrypted_file
+# 用猜测的 key 长度解密
+xortool -l 4 -c 00 encrypted_file
+
+# 已知明文攻击（知道部分明文）
+xortool-xor -f encrypted -s "known_plaintext"
+```
+
+---
+
+## 古典密码
+
+| 密码类型 | 工具 | 说明 |
+|---------|------|------|
+| Caesar | CyberChef / dcode.fr | 暴力 25 种偏移 |
+| Vigenere | dcode.fr / Ciphey | 需要猜 key 长度 |
+| Substitution | quipqiup.com | 频率分析自动求解 |
+| Enigma | dcode.fr | 在线模拟器 |
+| Rail Fence | dcode.fr / CyberChef | 栅栏密码 |
+| Playfair | dcode.fr | 需要 key |
+| Morse | CyberChef | 点划转文字 |
+| Bacon | dcode.fr | 二进制隐写 |
+| ROT13/47 | CyberChef / `tr` | 简单替换 |
+
+---
+
+## 编码识别与转换
+
+| 编码 | 识别特征 | 解码方式 |
+|------|---------|---------|
+| Base64 | 末尾 `=` 或 `==`，字符集 A-Za-z0-9+/ | `base64 -d` / CyberChef | <!-- security-allowlist: SEC008 -->
+| Base32 | 大写字母 + 2-7，末尾 `=` | CyberChef |
+| Base58 | 无 0/O/I/l，常见于短标识符编码 | CyberChef |
+| Hex | 只有 0-9a-f，长度为偶数 | `xxd -r -p` / CyberChef |
+| URL encoding | `%XX` 格式 | `urldecode` / CyberChef |
+| HTML entities | `&#XX;` 或 `&amp;` 格式 | CyberChef |
+| Unicode escape | `\uXXXX` 格式 | Python `decode('unicode_escape')` |
+| JWT | `xxxxx.yyyyy.zzzzz`（三段 Base64URL） | jwt.io / CyberChef |
+| Brainfuck | 只有 `><+-.,[]` 八个字符 | 在线解释器 |
+| Ook! | 只有 `Ook.` `Ook!` `Ook?` | 在线解释器 |
+
+---
+
+## 逆向中的加密识别
+
+### 通过常量识别算法
+
+| 常量/特征 | 算法 |
+|-----------|------|
+| `0x67452301, 0xEFCDAB89, 0x98BADCFE, 0x10325476` | MD5 |
+| `0x6A09E667, 0xBB67AE85, 0x3C6EF372` | SHA-256 |
+| `0x63, 0x7C, 0x77, 0x7B` (S-Box 开头) | AES |
+| `0x243F6A88` (π 的十六进制) | Blowfish |
+| `0xB7E15163, 0x9E3779B9` | RC5/RC6/TEA |
+| `0x61707865` ("expa") | ChaCha20/Salsa20 |
+| `0xC6EF3720` | XTEA |
+
+### 通过行为识别
+
+| 行为特征 | 可能的算法 |
+|---------|-----------|
+| 256 字节查找表 + swap 操作 | RC4 |
+| 16 字节块 + 多轮置换 | AES |
+| Feistel 结构（左右交换） | DES/Blowfish/TEA |
+| 大数乘法/模幂 | RSA |
+| 椭圆曲线点运算 | ECDSA/ECDH |
+| 固定 64 轮循环 | TEA/XTEA |
+| 32 轮 + delta 常量 | XTEA |
+
+---
+
+## 自动化密码分析
+
+| 工具 | 用途 | 链接 |
+|------|------|------|
+| **FeatherDuster** | 自动化密码分析框架 | https://github.com/nccgroup/featherduster |
+| **PkCrack** | ZIP 已知明文攻击 | https://www.unix-ag.uni-kl.de/~conrad/krypto/pkcrack.html |
+| **bkcrack** | ZIP 已知明文攻击（现代版） | https://github.com/kimci86/bkcrack |
+| **z3** | SMT 求解器（约束求解） | https://github.com/Z3Prover/z3 |
+| **angr** | 符号执行（自动求解输入） | https://angr.io/ |
+
+---
+
+## 快速决策树
+
+```text
+拿到一段未知数据：
+
+1. 看长度和字符集
+   - 只有 hex 字符 → 可能是 hex 编码或哈希
+   - 末尾有 = → Base64
+   - 三段点分 → JWT
+   - 32/40/64 字符 hex → 哈希（MD5/SHA1/SHA256）
+
+2. 用 Ciphey 自动尝试
+   ciphey -t "数据"
+
+3. 如果 Ciphey 失败 → 用 CyberChef Magic 模式
+
+4. 如果是哈希 → hashID 识别类型 → Hashcat/John 破解
+
+5. 如果是 RSA → RsaCtfTool 自动攻击
+
+6. 如果是 XOR → xortool 分析 key
+
+7. 如果是传统 ZIP 加密 → 优先使用 `bkcrack` 已知明文攻击，不要先做无证据的密码暴力
+
+8. 如果是自定义加密 → IDA/Ghidra 逆向算法 → 手写解密脚本
+```
+
+---
+
+## 在线资源
+
+| 资源 | 链接 | 用途 |
+|------|------|------|
+| CyberChef | https://gchq.github.io/CyberChef/ | 万能编解码 |
+| dcode.fr | https://www.dcode.fr/ | 900+ 密码工具 |
+| quipqiup | https://quipqiup.com/ | 替换密码自动求解 |
+| factordb | http://factordb.com/ | RSA 大数分解 |
+| jwt.io | https://jwt.io/ | JWT 解码/验证 |
+| hashes.com | https://hashes.com/ | 哈希反查 |
+| crackstation | https://crackstation.net/ | 在线哈希破解 |

package/bundled-skills/reverse-engineering/references/elf-analysis.md

@@ -0,0 +1,296 @@
+# ELF 二进制深度分析参考
+
+> 逆向 Linux/Android ELF 文件时的结构解析、反分析对抗识别和分析技巧。
+
+---
+
+## ELF 结构速查
+
+### 文件头 (ELF Header)
+
+```text
+偏移  大小  字段              说明
+0x00  4    e_ident[EI_MAG]   Magic: 7f 45 4c 46 ("\x7fELF")
+0x04  1    e_ident[EI_CLASS] 1=32bit, 2=64bit
+0x05  1    e_ident[EI_DATA]  1=LE, 2=BE
+0x10  2    e_type            2=EXEC, 3=DYN(PIE/SO), 4=CORE
+0x12  2    e_machine         0x03=x86, 0x3E=x86_64, 0xB7=AArch64, 0x28=ARM
+0x18  8    e_entry           入口点虚拟地址
+0x20  8    e_phoff           程序头表偏移
+0x28  8    e_shoff           节头表偏移（strip 后可能为 0）
+0x38  2    e_phnum           程序头数量
+0x3C  2    e_shnum           节头数量
+```
+
+### 程序头 (Program Header)
+
+```text
+类型值  名称       说明
+0x01   PT_LOAD    可加载段（代码/数据）
+0x02   PT_DYNAMIC 动态链接信息
+0x03   PT_INTERP  解释器路径（/lib/ld-linux.so）
+0x04   PT_NOTE    辅助信息
+0x06   PT_PHDR    程序头表自身
+0x6474e550 PT_GNU_EH_FRAME  异常处理
+0x6474e551 PT_GNU_STACK     栈可执行标记
+0x6474e552 PT_GNU_RELRO     只读重定位
+```
+
+### 常见节 (Sections)
+
+| 节名 | 说明 |
+|------|------|
+| `.text` | 代码段 |
+| `.rodata` | 只读数据（字符串常量） |
+| `.data` | 已初始化全局变量 |
+| `.bss` | 未初始化全局变量 |
+| `.plt` / `.got` | 动态链接跳转表 |
+| `.init_array` | 构造函数指针数组 |
+| `.fini_array` | 析构函数指针数组 |
+| `.dynamic` | 动态链接信息 |
+| `.symtab` / `.dynsym` | 符号表 |
+| `.strtab` / `.dynstr` | 字符串表 |
+
+---
+
+## 反分析手法识别
+
+### 常见 ELF 反分析技术
+
+| 手法 | 特征 | 对抗方式 |
+|------|------|---------|
+| 损坏程序头 | PHDR 填充垃圾数据（如 0x0a） | 手动修复或忽略损坏的 PHDR |
+| 无 section header | `e_shoff = 0`, `e_shnum = 0` | 只依赖程序头分析，不依赖 section |
+| 去符号 (strip) | 无 `.symtab`，函数名全丢 | GoReSym(Go) / 签名匹配 / FLIRT |
+| 静态链接 | 无 `.dynamic`，体积巨大 | 用 FLIRT/Lumina 识别库函数 |
+| 伪装文件类型 | 后缀 .sh/.txt/.jpg | 用 `file` 命令 / magic bytes 判断 |
+| UPX 加壳 | 包含 `UPX!` 标记 | `upx -d` 脱壳 |
+| 自定义壳 | 入口点跳转到解压代码 | 动态运行到 OEP 后 dump |
+| 反调试 | ptrace(TRACEME) | LD_PRELOAD hook / patch |
+| 反虚拟机 | 检查 /proc/cpuinfo | 修改 cpuinfo 或 hook 读取 |
+| 代码加密 | 运行时解密 .text | 断点在解密后 dump |
+
+### 识别自解压/自修改代码
+
+```text
+特征：
+1. 入口点附近有 mmap(PROT_READ|PROT_WRITE|PROT_EXEC) 调用
+2. 紧接着有 memcpy 或循环拷贝
+3. 然后 mprotect 改权限
+4. 最后 br/jmp 到新映射的地址
+
+分析策略：
+1. 找到 mmap 调用 → 记录返回的地址
+2. 在 mprotect(PROT_EXEC) 后下断点
+3. dump 解压后的内存区域
+4. 作为新的二进制分析
+```
+
+---
+
+## ARM64 (AArch64) 逆向速查
+
+### 寄存器
+
+| 寄存器 | 用途 |
+|--------|------|
+| x0-x7 | 参数/返回值 |
+| x8 | 间接结果（syscall 号） |
+| x9-x15 | 临时寄存器 |
+| x16-x17 | IP0/IP1（PLT 跳转） |
+| x18 | 平台寄存器（Android: shadow call stack） |
+| x19-x28 | 被调用者保存 |
+| x29 (FP) | 帧指针 |
+| x30 (LR) | 链接寄存器（返回地址） |
+| SP | 栈指针 |
+| PC | 程序计数器 |
+
+### 常见指令模式
+
+```text
+函数序言：
+  stp x29, x30, [sp, #-N]!    # 保存 FP 和 LR
+  mov x29, sp                  # 设置帧指针
+
+函数尾声：
+  ldp x29, x30, [sp], #N      # 恢复 FP 和 LR
+  ret                          # 返回（br x30）
+
+系统调用：
+  mov x8, #NR                  # syscall 号
+  svc #0                       # 触发 syscall
+
+条件分支：
+  cmp x0, #0
+  b.eq label                   # 等于跳转
+  b.ne label                   # 不等于跳转
+  cbz x0, label                # x0 == 0 跳转
+  cbnz x0, label               # x0 != 0 跳转
+
+地址加载：
+  adrp x0, page                # 加载页地址高位
+  add x0, x0, #offset          # 加低 12 位偏移
+  ldr x0, [x1, #offset]        # 从内存加载
+```
+
+### Linux ARM64 系统调用号
+
+| 号码 | 名称 | 说明 |
+|------|------|------|
+| 56 | openat | 打开文件 |
+| 63 | read | 读取 |
+| 64 | write | 写入 |
+| 57 | close | 关闭 |
+| 222 | mmap | 内存映射 |
+| 226 | mprotect | 修改内存权限 |
+| 117 | ptrace | 进程跟踪 |
+| 220 | clone | 创建进程/线程 |
+| 221 | execve | 执行程序 |
+| 93 | exit | 退出 |
+| 94 | exit_group | 退出进程组 |
+
+---
+
+## 常见压缩/打包算法识别
+
+| 算法 | 识别特征 | 解压方式 |
+|------|---------|---------|
+| **LZSS** | 位流 + 字面量/匹配标记 | 自定义解压器（如本报告） |
+| **ZLIB/Deflate** | Magic: `78 01`/`78 9C`/`78 DA` | `zlib.decompress()` |
+| **GZIP** | Magic: `1F 8B` | `gzip -d` / `gunzip` |
+| **LZ4** | Magic: `04 22 4D 18` | `lz4 -d` |
+| **LZMA/XZ** | Magic: `FD 37 7A 58 5A 00` (XZ) | `xz -d` / `lzma -d` |
+| **Brotli** | 无固定 magic，看上下文 | `brotli -d` |
+| **Zstandard** | Magic: `28 B5 2F FD` | `zstd -d` |
+| **UPX** | 字符串 `UPX!` | `upx -d` |
+| **自定义** | 入口点有解压循环 | 逆向算法后写解压器 |
+
+### 识别自定义压缩的线索
+
+```text
+1. 入口点附近有循环 + 位操作（移位、AND、OR）
+2. 有"滑动窗口"回拷（从输出缓冲区往回读）→ LZ 系列
+3. 有频率表/霍夫曼树构建 → Deflate/Huffman
+4. 有固定大小块处理 → 块压缩（LZ4/Snappy）
+5. 有算术编码特征（区间缩小）→ LZMA/ANS
+```
+
+---
+
+## Linux 进程注入技术
+
+### mmap + 代码注入
+
+```text
+流程：
+1. mmap(NULL, size, PROT_READ|PROT_WRITE, MAP_ANON|MAP_PRIVATE, -1, 0)
+2. 将 shellcode/payload 写入映射区域
+3. mprotect(addr, size, PROT_READ|PROT_EXEC)  # 改为可执行
+4. 跳转到映射地址执行
+
+特征：
+- mmap 返回值被保存
+- 紧接着有 memcpy 或循环写入
+- 然后 mprotect 改权限
+- 最后 br/blr 到该地址
+```
+
+### ptrace 注入
+
+```text
+流程：
+1. ptrace(PTRACE_ATTACH, target_pid)
+2. waitpid(target_pid)
+3. ptrace(PTRACE_GETREGS, target_pid, &regs)
+4. 修改 regs.pc 指向注入代码
+5. ptrace(PTRACE_SETREGS, target_pid, &regs)
+6. ptrace(PTRACE_CONT, target_pid)
+
+特征：
+- 打开 /proc/<pid>/mem 或使用 ptrace
+- 读取/修改目标进程寄存器
+- 写入 shellcode 到目标进程空间
+```
+
+### /proc/self/mem 自修改
+
+```text
+流程：
+1. open("/proc/self/mem", O_RDWR)
+2. lseek(fd, target_addr, SEEK_SET)
+3. write(fd, new_code, size)
+
+用途：
+- 绕过 W^X 保护（mmap 的页不能同时 W+X）
+- 修改自身代码段（.text 通常是只读的）
+- 运行时 patch 指令
+```
+
+---
+
+## 分析大型 ELF 的策略
+
+对于 5MB+ 的大型二进制：
+
+```text
+1. 快速侦察（5 分钟）
+   - file / rabin2 -I → 架构、类型、保护
+   - strings | grep -i "error\|fail\|http\|/proc\|/dev" → 关键字符串
+   - rabin2 -i → 导入函数（如果有）
+   - rabin2 -E → 导出函数
+
+2. 结构分析（10 分钟）
+   - readelf -l → 程序头（LOAD 段布局）
+   - 入口点附近代码 → 是否有解压/解密
+   - 找 .init_array → 构造函数（可能有反调试）
+
+3. 定位关键逻辑
+   - 从字符串交叉引用入手
+   - 从系统调用（mmap/ptrace/open）入手
+   - 从网络函数（connect/send/recv）入手
+
+4. 分而治之
+   - 如果是自解压 → 先解压，分析 payload
+   - 如果是多模块 → 按功能分块分析
+   - 用 binary-diff 对比不同版本
+```
+
+---
+
+## 工具命令速查
+
+```bash
+# 基本信息
+file binary
+readelf -h binary          # ELF 头
+readelf -l binary          # 程序头
+readelf -S binary          # 节头（如果有）
+rabin2 -I binary           # 综合信息
+
+# 字符串
+strings -a binary | less
+rabin2 -z binary           # 数据段字符串
+rabin2 -zz binary          # 全文件字符串
+
+# 反汇编
+r2 -A binary               # radare2 分析
+objdump -d binary          # GNU 反汇编
+aarch64-linux-gnu-objdump -d binary  # ARM64 交叉反汇编
+
+# 动态分析
+strace -f ./binary         # 系统调用跟踪
+ltrace -f ./binary         # 库函数跟踪
+qemu-aarch64 -strace ./binary  # ARM64 模拟执行
+
+# 内存 dump
+gdb -p <pid> -ex "dump memory out.bin 0xADDR 0xADDR+SIZE" -ex quit
+
+# 修复损坏的 ELF
+# 手动修改 e_phnum 或 patch 损坏的 PHDR
+python -c "
+import struct
+with open('binary', 'r+b') as f:
+    f.seek(0x38)  # e_phnum offset (64-bit)
+    f.write(struct.pack('<H', 2))  # 修改为正确的 PHDR 数量
+"
+```