opencode-skills-collection 4.0.43 → 4.0.44

package/bundled-skills/reverse-engineering/references/go-reverse.md

@@ -0,0 +1,240 @@
+# Go 二进制逆向指南
+
+> Go 编译的二进制有独特的挑战：静态链接导致体积巨大、函数数量上万、字符串格式特殊、符号 strip 后恢复困难。
+> 本文档覆盖工具链、恢复技巧和实战工作流。
+
+---
+
+## Go 二进制的特征识别
+
+快速判断一个二进制是否是 Go 编译的：
+
+```bash
+# 字符串特征
+strings binary | grep -E "runtime\.|go\.buildid|GOROOT"
+
+# rabin2 侦察
+rabin2 -z binary | grep -i "runtime"
+
+# 文件大小异常大（静态链接 runtime）
+# 典型 Hello World: C ~20KB, Go ~2MB
+```
+
+常见特征：
+- 包含 `runtime.` 前缀的大量函数
+- 包含 `go.buildid` section
+- 包含 `GOROOT`、`GOPATH` 路径字符串
+- 函数数量 5000-50000+（包含整个 runtime 和标准库）
+
+---
+
+## 核心工具链
+
+### 符号恢复
+
+| 工具 | 用途 | 链接 |
+|------|------|------|
+| **GoReSym** | Mandiant 出品，解析 Go 符号信息（pclntab/moduledata） | https://github.com/mandiant/GoReSym |
+| **GoResolver** | Volexity 出品，用 CFG 相似度自动去混淆 Garble 二进制 | https://github.com/volexity/GoResolver |
+| **redress** | 分析 stripped Go 二进制，恢复类型/接口/包结构 | https://github.com/goretk/redress |
+| **GoStringUngarbler** | Google 出品，专门恢复 Garble 混淆的字符串 | https://github.com/mandiant/GoStringUngarbler |
+
+### IDA 插件
+
+| 工具 | 用途 | 链接 |
+|------|------|------|
+| **go_parser** | IDA 插件，解析 moduledata/pclntab/类型信息 | https://github.com/0xjiayu/go_parser |
+| **IDAGolangHelper** | IDA 脚本集，解析 Go 类型信息 | https://github.com/sibears/IDAGolangHelper |
+| **AlphaGolang** | SentinelLabs 的 IDAPython 脚本集 | https://github.com/SentineLabs/AlphaGolang |
+| **IDA 9.2+ 原生支持** | Hex-Rays 官方 Go 反编译改进 | https://hex-rays.com/blog/stop-guessing-and-start-going |
+
+### Ghidra 插件
+
+| 工具 | 用途 | 链接 |
+|------|------|------|
+| **Ghidra + GoReSym 输出** | 用 GoReSym 导出符号后导入 Ghidra | 配合使用 |
+| **golang_loader_assist** | Ghidra Go 加载辅助 | 社区脚本 |
+
+### 独立分析工具
+
+| 工具 | 用途 | 链接 |
+|------|------|------|
+| **gore** | Go 逆向工程库（redress 的底层） | https://github.com/goretk/gore |
+| **garble** | Go 混淆工具（了解它才能对抗它） | https://github.com/burrowers/garble |
+
+---
+
+## Go 二进制的关键结构
+
+### pclntab (PC Line Table)
+
+Go 二进制中最重要的结构，包含：
+- 所有函数名和地址映射
+- 源文件路径
+- 行号信息
+- 栈帧大小
+
+即使 strip 了符号，pclntab 通常仍然存在（Go runtime 依赖它）。
+
+```text
+定位方法：
+1. 搜索 magic bytes: 0xFFFFFFF0 (Go 1.16+) 或 0xFFFFFFFB (Go 1.18+)
+2. 用 GoReSym 自动定位
+3. 用 go_parser IDA 插件自动解析
+```
+
+### moduledata
+
+包含：
+- pclntab 指针
+- 类型信息表
+- itab（接口表）
+- 全局变量信息
+
+### 字符串格式
+
+Go 字符串不是 C 风格的 null-terminated，而是 `(pointer, length)` 结构：
+
+```text
+C 字符串:   "hello\0"
+Go 字符串:  struct { ptr *byte; len int } → ptr 指向 "hello"（无 \0）
+```
+
+这导致 IDA/Ghidra 默认的字符串识别会漏掉大量 Go 字符串。
+
+**解决方案**：
+- 用 `go_parser` 自动识别 Go 字符串
+- 用 GoReSym 导出字符串列表
+- 手动：找到 `runtime.stringtable` 或通过交叉引用定位
+
+---
+
+## 实战工作流
+
+### 场景 1：未 strip 的 Go 二进制
+
+```text
+1. GoReSym -t -d -p binary > symbols.json
+   → 导出所有函数名、类型、源文件路径
+2. 加载到 IDA/Ghidra
+3. 导入 GoReSym 的符号信息
+4. 过滤掉 runtime.* 和标准库函数，聚焦用户代码
+5. 从 main.main 开始分析
+```
+
+### 场景 2：strip 后的 Go 二进制
+
+```text
+1. GoReSym -t -d -p binary > symbols.json
+   → 即使 strip 了，pclntab 通常还在
+2. 如果 GoReSym 失败 → 用 redress
+   redress -src binary    # 恢复源文件路径
+   redress -pkg binary    # 恢复包结构
+   redress -type binary   # 恢复类型信息
+3. 加载到 IDA + go_parser 插件
+4. 运行 go_parser 自动恢复
+5. 从恢复的 main.main 开始
+```
+
+### 场景 3：Garble 混淆的 Go 二进制
+
+```text
+Garble 会：
+- 随机化函数名（main.main → main.a3f2b1c）
+- 加密字符串
+- 移除文件路径信息
+- 混淆包名
+
+对抗方法：
+1. GoResolver（CFG 签名匹配）
+   → 通过控制流图相似度恢复标准库函数名
+2. GoStringUngarbler（字符串解密）
+   → 自动识别 Garble 的字符串加密模式并解密
+3. 动态分析（Frida/dlv）
+   → Hook runtime 函数观察实际行为
+4. 对比分析
+   → 编译同版本 Go 的 Hello World，用 binary-diff 对比 runtime 部分
+```
+
+### 场景 4：CGo 混合编译
+
+```text
+1. 识别 CGo 边界（_cgo_* 函数）
+2. Go 部分用 go_parser 恢复
+3. C 部分用常规 IDA 分析
+4. 关注 _cgo_topofstack、crosscall2 等桥接函数
+```
+
+---
+
+## 常用命令速查
+
+```bash
+# GoReSym：导出符号
+GoReSym -t -d -p binary > symbols.json
+GoReSym -t -d -p binary -o ida_script.py  # 生成 IDA 脚本
+
+# redress：分析 stripped 二进制
+redress -src binary          # 源文件路径
+redress -pkg binary          # 包结构
+redress -type binary         # 类型信息
+redress -interface binary    # 接口信息
+redress -filepath binary     # 完整文件路径
+
+# GoResolver：去混淆 Garble
+GoResolver -binary binary -output resolved.json
+
+# GoStringUngarbler：解密 Garble 字符串
+GoStringUngarbler -i binary -o deobfuscated_binary
+
+# 快速判断 Go 版本
+strings binary | grep "go1\."
+GoReSym -p binary | grep "Version"
+```
+
+---
+
+## IDA 中的 Go 分析流程
+
+```text
+1. 加载二进制（选择正确的架构）
+2. 等待自动分析完成
+3. 运行 go_parser 插件：
+   - File → Script File → go_parser.py
+   - 或 Edit → Plugins → Go Parser
+4. 插件会自动：
+   - 解析 pclntab
+   - 恢复函数名
+   - 标记 Go 字符串
+   - 解析类型信息
+5. 过滤视图：
+   - 隐藏 runtime.* 函数
+   - 聚焦 main.* 和第三方包
+6. 从 main.main 开始逆向
+```
+
+---
+
+## 常见陷阱
+
+| 陷阱 | 说明 | 解决 |
+|------|------|------|
+| 函数太多看不过来 | Go 静态链接导致 5000-50000 函数 | 用包名过滤，只看 main.* 和业务包 |
+| 字符串识别不全 | Go 字符串不是 null-terminated | 用 go_parser 或 GoReSym 恢复 |
+| 反编译结果难读 | Go 的 defer/goroutine/interface 让伪代码复杂 | IDA 9.2+ 有改进，或用动态分析辅助 |
+| Garble 混淆 | 函数名/字符串全部随机化 | GoResolver + GoStringUngarbler |
+| 版本差异 | 不同 Go 版本的 pclntab 格式不同 | GoReSym 支持 Go 1.2-1.23+ |
+| CGo 边界 | Go 和 C 代码混合 | 识别 _cgo_* 函数作为分界线 |
+
+---
+
+## 与其他 skill 的配合
+
+| 需求 | 用什么 |
+|------|--------|
+| IDA 深度分析 Go 二进制 | `ida-reverse/` + go_parser 插件 |
+| Ghidra 分析（免费） | Ghidra + GoReSym 符号导入 |
+| 快速侦察 | `radare2/` — `rabin2 -z` 看字符串 |
+| 动态 Hook | Frida（Hook runtime 函数）或 dlv（Go 原生调试器） |
+| 跨版本对比 | `binary-diff/` — 旧版有符号迁移到新版 |
+| Garble 去混淆 | GoResolver + GoStringUngarbler |

package/bundled-skills/reverse-engineering/references/kernel-driver-reverse.md

@@ -0,0 +1,298 @@
+# 内核驱动逆向参考
+
+> 覆盖 Windows/Linux 内核驱动逆向、Rootkit 分析、C/C++ 二进制模式识别。
+
+---
+
+## Windows 驱动逆向
+
+### 驱动类型
+
+| 类型 | 特征 | 分析重点 |
+|------|------|---------|
+| WDM (Windows Driver Model) | 老式驱动，手动管理 IRP | DriverEntry → 设备创建 → Dispatch 例程 |
+| KMDF (Kernel Mode Driver Framework) | 现代框架，事件驱动 | EvtDriverDeviceAdd → Queue → I/O 回调 |
+| WDF (Windows Driver Foundation) | KMDF + UMDF 统称 | 看 WdfDriverCreate 调用 |
+| Minifilter | 文件系统过滤驱动 | FltRegisterFilter → Pre/Post 回调 |
+
+### WDM 驱动分析流程
+
+```text
+1. 找 DriverEntry（入口点）
+   - IDA 自动识别，或搜索 IoCreateDevice / IoCreateSymbolicLink
+
+2. 找设备名和符号链接
+   - IoCreateDevice → DeviceName（如 \Device\MyDriver）
+   - IoCreateSymbolicLink → SymLink（如 \DosDevices\MyDriver）
+
+3. 找 Dispatch 例程
+   - DriverObject->MajorFunction[IRP_MJ_DEVICE_CONTROL] = DispatchIoctl
+   - 这是用户态通过 DeviceIoControl 调用的入口
+
+4. 分析 IOCTL 处理
+   - switch(IoControlCode) 分发不同功能
+   - IOCTL 编码：CTL_CODE(DeviceType, Function, Method, Access)
+   - Method: METHOD_BUFFERED / METHOD_IN_DIRECT / METHOD_OUT_DIRECT / METHOD_NEITHER
+
+5. 找漏洞
+   - 用户可控缓冲区未验证长度 → 溢出
+   - METHOD_NEITHER 直接使用用户指针 → 任意读写
+   - 未检查 IOCTL 权限 → 非特权用户可调用
+```
+
+### IOCTL 编码解析
+
+```python
+# 解析 IOCTL code
+def decode_ioctl(code):
+    device_type = (code >> 16) & 0xFFFF
+    access = (code >> 14) & 0x3
+    function = (code >> 2) & 0xFFF
+    method = code & 0x3
+    
+    methods = {0: "BUFFERED", 1: "IN_DIRECT", 2: "OUT_DIRECT", 3: "NEITHER"}
+    access_types = {0: "ANY", 1: "READ", 2: "WRITE", 3: "READ|WRITE"}
+    
+    return f"DevType=0x{device_type:X} Func=0x{function:X} Method={methods[method]} Access={access_types[access]}"
+
+# 示例
+decode_ioctl(0x80002034)
+# DevType=0x8000 Func=0x80D Method=BUFFERED Access=ANY
+```
+
+### IDA 插件
+
+| 插件 | 用途 | 链接 |
+|------|------|------|
+| **Driver Buddy Reloaded** | 自动识别 IOCTL、Dispatch、设备名 | https://github.com/VoidSec/DriverBuddyReloaded |
+| **WinDbg + IDA** | 内核调试 + 静态分析配合 | 内置 |
+| **FLIRT/Lumina** | 识别 WDK 库函数 | IDA 内置 |
+
+### 参考文章
+
+- [Windows Drivers RE Methodology (VoidSec)](https://voidsec.com/windows-drivers-reverse-engineering-methodology/) — 最完整的 WDM 驱动逆向方法论
+- [Driver Reversing 101](https://eversinc33.com/posts/driver-reversing.html) — WDM vs KMDF 对比
+- [Methodology of Reversing Vulnerable Killer Drivers](https://whiteknightlabs.com/2025/10/28/methodology-of-reversing-vulnerable-killer-drivers/) — 漏洞驱动分析
+
+---
+
+## Linux 内核模块逆向
+
+### LKM (Loadable Kernel Module) 结构
+
+```text
+关键函数：
+- init_module / module_init → 模块加载时执行
+- cleanup_module / module_exit → 模块卸载时执行
+
+关键结构：
+- struct file_operations → 字符设备的 open/read/write/ioctl
+- struct net_device_ops → 网络设备操作
+- struct block_device_operations → 块设备操作
+```
+
+### 分析流程
+
+```text
+1. 确认是内核模块
+   file module.ko → "ELF 64-bit ... relocatable"（注意是 relocatable 不是 executable）
+
+2. 找 init/exit 函数
+   readelf -s module.ko | grep -E "init_module|cleanup_module"
+   或在 .modinfo section 找模块信息
+
+3. 找 file_operations 结构
+   搜索 register_chrdev / cdev_add / misc_register
+   → 找到 fops 结构体 → 定位 ioctl/read/write 处理函数
+
+4. 分析 ioctl 处理
+   unlocked_ioctl / compat_ioctl 函数
+   → switch(cmd) 分发
+
+5. 找 Rootkit 行为
+   - 修改 sys_call_table → syscall hook
+   - 修改 /proc 文件系统 → 隐藏进程/文件
+   - 注册 netfilter hook → 隐藏网络连接
+   - 修改 VFS 层 → 隐藏文件
+```
+
+### Rootkit 常见技术
+
+| 技术 | 特征 | 检测方法 |
+|------|------|---------|
+| syscall table hook | 修改 `sys_call_table` 条目 | 对比内存中的表与磁盘上的 vmlinux |
+| VFS hook | 修改 `file_operations` 函数指针 | 检查 fops 指针是否指向内核代码段外 |
+| Netfilter hook | `nf_register_net_hook` | 遍历 netfilter hook 链表 |
+| kprobe/ftrace hook | 注册 kprobe 或 ftrace 回调 | 检查 ftrace 注册列表 |
+| eBPF rootkit | 加载恶意 BPF 程序 | `bpftool prog list` |
+| DKOM | 直接修改内核对象（进程链表） | 遍历 task_struct 链表对比 /proc |
+
+### 工具
+
+| 工具 | 用途 |
+|------|------|
+| `crash` | 内核 dump 分析 |
+| `volatility3` | 内存取证（Linux profile） |
+| `dmesg` / `journalctl` | 内核日志 |
+| `lsmod` / `/proc/modules` | 已加载模块列表 |
+| `modinfo` | 模块元信息 |
+| `strace` | 系统调用跟踪（用户态视角） |
+
+---
+
+## C/C++ 逆向模式识别
+
+### C 语言常见模式
+
+| 源码模式 | 反汇编特征 |
+|---------|-----------|
+| `if-else` | `cmp` + `jcc`（条件跳转） |
+| `switch-case` | 跳转表（`jmp [rax*8 + table]`）或连续 `cmp` |
+| `for` 循环 | `cmp` + `jl/jle` + 循环体 + `inc/add` + `jmp` 回跳 |
+| `while` 循环 | 条件判断在循环顶部 |
+| `do-while` | 条件判断在循环底部 |
+| 函数指针调用 | `call rax` 或 `call [reg+offset]` |
+| `struct` 访问 | `[reg+固定偏移]`（如 `[rdi+0x10]`） |
+| `malloc` + 使用 | `call malloc` → 返回值存入寄存器 → 后续用该寄存器+偏移访问 |
+| 字符串比较 | `call strcmp` 或 `repe cmpsb` |
+
+### C++ 特有模式
+
+| 源码模式 | 反汇编特征 |
+|---------|-----------|
+| **虚函数调用** | `mov rax, [rcx]`（取 vtable）→ `call [rax+offset]`（调用虚函数） |
+| **构造函数** | 分配内存 → 写入 vtable 指针 → 初始化成员 |
+| **析构函数** | 清理成员 → 可能调用 `operator delete` |
+| **this 指针** | 第一个参数（rcx/rdi）是对象指针 |
+| **继承** | vtable 中包含父类虚函数 + 子类覆盖 |
+| **多重继承** | 对象内有多个 vtable 指针（偏移不同） |
+| **RTTI** | vtable 前面有 `type_info` 指针 |
+| **异常处理** | `__cxa_throw` / `_CxxThrowException` |
+| **STL 容器** | `std::vector`: `{begin, end, capacity}` 三指针结构 |
+| **std::string** | 小字符串优化（SSO）：短串内联，长串堆分配 |
+
+### vtable 逆向方法
+
+```text
+1. 找 vtable
+   - 搜索连续的函数指针数组（在 .rodata 或 .rdata 段）
+   - 构造函数中 `mov [rcx], offset vtable` 写入 vtable 指针
+
+2. 确定类层次
+   - vtable 前 -8 偏移处通常是 RTTI 指针（如果未 strip）
+   - 多个 vtable 共享前几个条目 → 继承关系
+
+3. 标注虚函数
+   - vtable[0] 通常是析构函数（或 deleting destructor）
+   - 后续按偏移标注：vtable[1] = func1, vtable[2] = func2...
+
+4. IDA 中操作
+   - 在 vtable 地址创建 struct（每个字段是函数指针）
+   - 对 `call [rax+offset]` 添加注释标明调用的虚函数
+```
+
+### 结构体恢复
+
+```text
+方法 1：从访问模式推断
+  mov eax, [rdi+0x00]  → field_0: int/ptr (4/8 bytes)
+  mov ecx, [rdi+0x08]  → field_8: int/ptr
+  movss xmm0, [rdi+0x10] → field_10: float
+
+方法 2：从 sizeof 推断
+  call malloc(0x30) → 结构体大小 0x30 (48 bytes)
+  
+方法 3：从构造函数推断
+  构造函数会初始化所有字段 → 字段类型和偏移一目了然
+
+方法 4：用 IDA 的 "Create struct" 功能
+  选中访问模式 → Edit → Struct → Create struct from selection
+```
+
+---
+
+## 常见编译器特征
+
+| 编译器 | 识别特征 |
+|--------|---------|
+| MSVC | `_security_cookie` 检查、`__fastcall` 调用约定、Rich Header |
+| GCC | `__stack_chk_fail`、`-fstack-protector`、`.note.GNU-stack` |
+| Clang/LLVM | 类似 GCC 但优化模式不同、`__asan_*`（如果开了 sanitizer） |
+| MinGW | GCC 特征 + Windows API 调用 |
+| AOSP Clang | Android 特有的 `__android_log_print`、PGO 标记 |
+
+### 优化级别识别
+
+| 优化级别 | 特征 |
+|---------|------|
+| -O0 | 大量冗余 mov、每个变量都在栈上、函数不内联 |
+| -O1 | 基本优化、部分变量在寄存器 |
+| -O2 | 循环展开、函数内联、尾调用优化 |
+| -O3 / -Os | 激进内联、向量化（SIMD）、代码难读 |
+| PGO | 热路径优化、冷代码分离到 `.text.cold` |
+| LTO | 跨模块内联、全局死代码消除 |
+
+---
+
+## 内核调试环境
+
+### Windows
+
+```text
+调试器：WinDbg Preview
+连接方式：网络调试（推荐）或串口
+
+被调试机设置：
+bcdedit /debug on
+bcdedit /dbgsettings net hostip:192.168.x.x port:50000
+
+调试机连接：
+WinDbg → File → Attach to Kernel → Net → Port:50000 Key:xxx
+
+常用命令：
+!analyze -v          # 自动分析崩溃
+lm                   # 列出已加载模块
+!drvobj \Driver\xxx  # 查看驱动对象
+dt nt!_DRIVER_OBJECT # 显示结构体
+bp module!function   # 下断点
+```
+
+### Linux
+
+```text
+调试器：GDB + QEMU 或 kgdb
+
+QEMU 内核调试：
+qemu-system-x86_64 -kernel bzImage -s -S ...
+gdb vmlinux -ex "target remote :1234"
+
+常用命令：
+info threads         # 内核线程
+lx-symbols           # 加载内核符号（需要 scripts/gdb/）
+p init_task          # 查看 init 进程
+lx-dmesg             # 内核日志
+```
+
+---
+
+## Agent 动作锚点（Issue #65 U–AV）
+
+与 `references/nonpe-format-cookbook.md` §5 对齐（短表，不替代上文流程）：
+
+| ID | 动作 | Evidence |
+|----|------|----------|
+| AG | `DriverEntry` 短 → 扫 `MajorFunction` 非空槽，优先 DEVICE_CONTROL/CREATE | `E-driver-irp-handlers` |
+| AH | 建立 IOCTL 控制码 → handler 表与 METHOD_* | `E-driver-ioctl` |
+| AI | 疑 BYOVD：对照公开脆弱驱动列表；记名/哈希/签名与调用意图；**不写 exploit 步骤** | `E-driver-byovd` |
+
+## 参考资源
+
+| 资源 | 说明 | 链接 |
+|------|------|------|
+| VoidSec 驱动逆向方法论 | Windows WDM 驱动完整分析流程 | https://voidsec.com/windows-drivers-reverse-engineering-methodology/ |
+| Elastic Rootkit 系列 | Linux Rootkit 分类+检测 | https://security-labs.elastic.co/security-labs/linux-rootkits-1-hooked-on-linux |
+| Driver Buddy Reloaded | IDA 驱动分析插件 | https://github.com/VoidSec/DriverBuddyReloaded |
+| LOLDrivers | 已知漏洞驱动列表 | https://www.loldrivers.io/ |
+| Windows Driver Samples | 微软官方驱动示例 | https://github.com/microsoft/Windows-driver-samples |
+| Linux Kernel Module Programming | 内核模块开发教程 | https://sysprog21.github.io/lkmpg/ |
+| Trail of Bits - Devirtualizing C++ | vtable 逆向方法 | https://blog.trailofbits.com/2017/02/13/devirtualizing-c-with-binary-ninja/ |