vlad/reverse-skills-max
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity
Files
main
reverse-skills-max/research-what-we-did/RESEARCH-SUMMARY.md

8.5 KiB
Raw Permalink Blame History

ЧТО МЫ РЕСЁРЧИЛИ — реверс-инжиниринг (полный свод, 2026-09-26 → 28)

Восстановлено из памяти (Mnemopi) + файлов. Всё что мы делали по реверсу за эти дни.

Хронология ресёрча

2026-09-26 (вечер) — Босс попросил переделать пост [REDACTED]

  1. Deep research «РЕВЕРС-ИНЖИНИРИНГ: ПОЛНЫЙ СТЕК 2026» — софт + AI-агенты + курсы + разбор кейса взлома IDA Pro 9.3. Источники сверены, ссылки живые.
  2. Спарсили GitHub через API: 5 поисковых запросов + каталог awesome-ai-reverse целиком + точечные проверки — ~60 позиций с живыми звёздами. Главные находки, которых не было у [REDACTED]: reverse-skill 37.9к★, Anthropic-Cybersecurity-Skills 33.4к★ (817 скиллов), SkillSpector (NVIDIA) 18.4к★, GhidraMCP 10.2к★, Trail of Bits skills 7.2к★, ctf-skills 3.3к★, официальный radare2-mcp, x64dbg-mcp, Cheat Engine MCP, REMnux MCP, auto-re-agent, reverify.
  3. Гайд вырос 3 → 4 сообщения (лимит TG 4096).

2026-09-26 (ночь) — Прожарка: аудит + спор с тремя критиками

Прогнали 3 волны критиков (FactsCritic / StyleCritic / TechCritic), каждый вердикт перепроверен, спор тезис→контраргумент→вердикт. 78 репо через GitHub API + 20 внешних ссылок + ~30 чисел из README. Итог: VERIFIED WITH CAVEATS, v4 → v4.1.

Факт-фиксы (цифры [REDACTED] врут)

Где Было у [REDACTED] Стало (сверено)
binary-ninja-headless-mcp 180 тулов 181 тул
firefox-reverse 855 звёзд 857
shannon 47к звёзд 48к
Anthropic-Cybersecurity-Skills 29 доменов 34
open-reverselab «194 статьи» 180+
PMAT PMAT-course (404) PMAT-labs (1160★, жив)
Книга Нарвахи «Реверсинг с IDA Pro от 0» «Введение в реверсинг с нуля, используя IDA PRO» (перевода не хватает части 66.2)

Смысловые вранья

  • Qiling «без запуска» → «без запуска на живой системе» (Qiling код исполняет — в эмуляторе)
  • OGhidra «сэмплы не уходят в облако» → поддерживает и облачные API; приватность только в локальном режиме
  • de4py — CC BY-NC (некоммерческая), disrobe — платно для компаний. Интро «всё бесплатное» — ложь
  • Промпт-инъекция «малварь учится разговаривать» → «встраивает команды в строки» (arXiv:2605.30667)
  • «~20 новых 0-day» — тавтология

Спор с критиками (выжившие вердикты)

  1. TechCritic [BLOCKER]: «утёк keygen с приватным ключом — не подтверждается» → принят, секция про лицензию IDA переписана: утечка беты 9.2 + генераторы под пропатченные бинари; keygen с приватным ключом публично не подтверждён. Рецепт не включён
  2. StyleCritic: «Ты направляешь и валидируешь» — разговорщина → «Роль человека — направлять и валидировать»
  3. FactsCritic [BLOCKER]: PMAT-course 404 → замена на PMAT-labs
  4. FactsCritic: shannon 47к→48к, firefox-reverse 855→857 (точные числа из API — дисциплина канала)
  5. TechCritic: «Всё бесплатное» → пометки лицензий + «лицензионные исключения помечены»
  6. TechCritic: OGhidra → «LLM через Ollama или облачные API; в локальном режиме сэмплы не уходят в облако»

Отклонено: «виртуалка» (стандартный термин RU-реверс-среды), «↔» (типографика, не эмодзи).

Чистым прошло: ida-pro-mcp 12,351★, GhidraMCP 10,187★, SkillSpector 18,361★, reverse-skill 37,917★, FIRERPA 8,473★, Big Sleep ~20 0-day за 2025, CrackMeBench, ida-mcp MIT/IDA 9.4+, binwalk Rust, bethington 253 тула, Arkana 308.

Верификация финального v4

  • 4 сообщения: 3861 / 3682 / 3882 / 1939 симв. (лимит 4096, запас от 214)
  • 102/102 ссылки живые (beginners.re 403 ботам — сайтом жив, проверено через Tavily)

2026-09-26/27 — свои скиллы

  • re-roast-2026 (managed-skills, авто-загрузка) — воркфлоу прожарки: триаж ссылок → цифры → названия → лицензии → гиперболы → точность → атрибуция → разбивка 4096 → раздел про лицензию IDA. + scripts/linkcheck.py — многопоточный свип живости (24 воркера, HEAD→GET, 403/405=BOTWALL). Smoke-тест: 200 ✓, 404 ✓, 403 BOTWALL ✓
  • reverse-skill (ApiOid, security-skills) — роутер 47 модулей + CTF-оркестратор (42) + omp-pe-triage.py (PE-триаж pefile+capstone, чистый Python)
  • Память: 6 фактов записано в Mnemopi

2026-09-26..28 — реальные кейсы реверса

  • TelegramExpert.exe — EV-signed (Sectigo, «Slims Software») WiX/burn SFX-bootstrapper, 43 МБ, 6 секций без паковки, SFX×16/WiX×7, admin-проба через OpenProcessToken
  • WaveADS, hahacc CTF — триаж-отчёты
  • DarkTelegram — реверс + отчёт 466 строк
  • DeskGram, loliland — реверс-проекты
  • Форумные свипы по реверсу (forum-reversing_2026-09-19..28)

Ключевые выводы ресёрча (суть)

  1. Пайплайн разбора сэмпла: триаж (DIE+FLOSS+capa) → распаковка (x64dbg/Scylla, de4dot/dnSpyEx, Qiling) → статика (Ghidra/IDA) → динамика (Frida) → деобфускация (D-810/Unicorn/angr) → поведение (FakeNet-NG/CAPEv2/Speakeasy) → диффинг (BinDiff/Diaphora) → выход (YARA/IOC)
  2. Реверс через ИИ: агент подключается к дизассемблеру через MCP и сам декомпилирует/ходит по xrefs/переименовывает/ставит бряки. Роль человека — направлять и валидировать
  3. Лицензия IDA: .hexlic = офлайн JSON+подпись, ключ зашит в бинарь; keygen с приватным ключом публично не подтверждён; пропатченные сборки = вектор малвари; легально — IDA Free, Ghidra, академлицензия через вуз
  4. Ограничения ИИ-реверса: агент уверенно ошибается в именах функций (крипто/C2/авторизация — руками); упакованный сэмпл = слабый псевдод; строки в бинарнике = промпт-инъекция против RE-агента
  5. Big Sleep (Project Zero + DeepMind) — 0-day в SQLite до релиза, который фаззинг не поймал за 150 CPU-часов

Файлы этого ресёрча

Файл Что
rev_guide/p1..p4.md Гайд, 4 сообщения (до прожарки)
rev-guide-v4.md Финал v4.1 после прожарки (26 правок, 102/102 ссылки)
rev-guide-v4-subpost.md Под-пост-компаньон (1363 симв.)
00-source-iishko-original.md Исходный пост [REDACTED] (для диффа)
darktelegram_reverse_report.md Кейс DarkTelegram
gh-reverse-catalog.json Каталог GitHub reverse-ресурсов