84 lines
8.5 KiB
Markdown
84 lines
8.5 KiB
Markdown
# ЧТО МЫ РЕСЁРЧИЛИ — реверс-инжиниринг (полный свод, 2026-09-26 → 28)
|
||
|
||
Восстановлено из памяти (Mnemopi) + файлов. Всё что мы делали по реверсу за эти дни.
|
||
|
||
---
|
||
|
||
## Хронология ресёрча
|
||
|
||
### 2026-09-26 (вечер) — Босс попросил переделать пост [REDACTED]
|
||
1. **Deep research «РЕВЕРС-ИНЖИНИРИНГ: ПОЛНЫЙ СТЕК 2026»** — софт + AI-агенты + курсы + разбор кейса взлома IDA Pro 9.3. Источники сверены, ссылки живые.
|
||
2. **Спарсили GitHub через API**: 5 поисковых запросов + каталог awesome-ai-reverse целиком + точечные проверки — ~60 позиций с живыми звёздами. Главные находки, которых не было у [REDACTED]: reverse-skill 37.9к★, Anthropic-Cybersecurity-Skills 33.4к★ (817 скиллов), SkillSpector (NVIDIA) 18.4к★, GhidraMCP 10.2к★, Trail of Bits skills 7.2к★, ctf-skills 3.3к★, официальный radare2-mcp, x64dbg-mcp, Cheat Engine MCP, REMnux MCP, auto-re-agent, reverify.
|
||
3. **Гайд вырос 3 → 4 сообщения** (лимит TG 4096).
|
||
|
||
### 2026-09-26 (ночь) — Прожарка: аудит + спор с тремя критиками
|
||
Прогнали 3 волны критиков (FactsCritic / StyleCritic / TechCritic), каждый вердикт перепроверен, спор тезис→контраргумент→вердикт. 78 репо через GitHub API + 20 внешних ссылок + ~30 чисел из README. Итог: **VERIFIED WITH CAVEATS**, v4 → v4.1.
|
||
|
||
#### Факт-фиксы (цифры [REDACTED] врут)
|
||
|
||
| Где | Было у [REDACTED] | Стало (сверено) |
|
||
|---|---|---|
|
||
| binary-ninja-headless-mcp | 180 тулов | **181 тул** |
|
||
| firefox-reverse | 855 звёзд | **857** |
|
||
| shannon | 47к звёзд | **48к** |
|
||
| Anthropic-Cybersecurity-Skills | 29 доменов | **34** |
|
||
| open-reverselab | «194 статьи» | **180+** |
|
||
| PMAT | PMAT-course (404) | **PMAT-labs** (1160★, жив) |
|
||
| Книга Нарвахи | «Реверсинг с IDA Pro от 0» | **«Введение в реверсинг с нуля, используя IDA PRO»** (перевода не хватает части 66.2) |
|
||
|
||
#### Смысловые вранья
|
||
- **Qiling «без запуска»** → «без запуска на живой системе» (Qiling код исполняет — в эмуляторе)
|
||
- **OGhidra** «сэмплы не уходят в облако» → поддерживает и облачные API; приватность только в локальном режиме
|
||
- **de4py** — CC BY-NC (некоммерческая), **disrobe** — платно для компаний. Интро «всё бесплатное» — ложь
|
||
- **Промпт-инъекция** «малварь учится разговаривать» → «встраивает команды в строки» (arXiv:2605.30667)
|
||
- «~20 новых 0-day» — тавтология
|
||
|
||
#### Спор с критиками (выжившие вердикты)
|
||
1. TechCritic [BLOCKER]: «утёк keygen с приватным ключом — не подтверждается» → **принят**, секция про лицензию IDA переписана: утечка беты 9.2 + генераторы под пропатченные бинари; keygen с приватным ключом публично не подтверждён. Рецепт не включён
|
||
2. StyleCritic: «Ты направляешь и валидируешь» — разговорщина → «Роль человека — направлять и валидировать»
|
||
3. FactsCritic [BLOCKER]: PMAT-course 404 → замена на PMAT-labs
|
||
4. FactsCritic: shannon 47к→48к, firefox-reverse 855→857 (точные числа из API — дисциплина канала)
|
||
5. TechCritic: «Всё бесплатное» → пометки лицензий + «лицензионные исключения помечены»
|
||
6. TechCritic: OGhidra → «LLM через Ollama или облачные API; в локальном режиме сэмплы не уходят в облако»
|
||
|
||
**Отклонено:** «виртуалка» (стандартный термин RU-реверс-среды), «↔» (типографика, не эмодзи).
|
||
|
||
**Чистым прошло:** ida-pro-mcp 12,351★, GhidraMCP 10,187★, SkillSpector 18,361★, reverse-skill 37,917★, FIRERPA 8,473★, Big Sleep ~20 0-day за 2025, CrackMeBench, ida-mcp MIT/IDA 9.4+, binwalk Rust, bethington 253 тула, Arkana 308.
|
||
|
||
#### Верификация финального v4
|
||
- 4 сообщения: 3861 / 3682 / 3882 / 1939 симв. (лимит 4096, запас от 214)
|
||
- **102/102 ссылки живые** (beginners.re 403 ботам — сайтом жив, проверено через Tavily)
|
||
|
||
### 2026-09-26/27 — свои скиллы
|
||
- **`re-roast-2026`** (managed-skills, авто-загрузка) — воркфлоу прожарки: триаж ссылок → цифры → названия → лицензии → гиперболы → точность → атрибуция → разбивка 4096 → раздел про лицензию IDA. + `scripts/linkcheck.py` — многопоточный свип живости (24 воркера, HEAD→GET, 403/405=BOTWALL). Smoke-тест: 200 ✓, 404 ✓, 403 BOTWALL ✓
|
||
- **`reverse-skill`** (ApiOid, security-skills) — роутер 47 модулей + CTF-оркестратор (42) + `omp-pe-triage.py` (PE-триаж pefile+capstone, чистый Python)
|
||
- Память: 6 фактов записано в Mnemopi
|
||
|
||
### 2026-09-26..28 — реальные кейсы реверса
|
||
- **TelegramExpert.exe** — EV-signed (Sectigo, «Slims Software») WiX/burn SFX-bootstrapper, 43 МБ, 6 секций без паковки, SFX×16/WiX×7, admin-проба через OpenProcessToken
|
||
- **WaveADS**, **hahacc CTF** — триаж-отчёты
|
||
- **DarkTelegram** — реверс + отчёт 466 строк
|
||
- **DeskGram**, **loliland** — реверс-проекты
|
||
- **Форумные свипы** по реверсу (forum-reversing_2026-09-19..28)
|
||
|
||
---
|
||
|
||
## Ключевые выводы ресёрча (суть)
|
||
|
||
1. **Пайплайн разбора сэмпла**: триаж (DIE+FLOSS+capa) → распаковка (x64dbg/Scylla, de4dot/dnSpyEx, Qiling) → статика (Ghidra/IDA) → динамика (Frida) → деобфускация (D-810/Unicorn/angr) → поведение (FakeNet-NG/CAPEv2/Speakeasy) → диффинг (BinDiff/Diaphora) → выход (YARA/IOC)
|
||
2. **Реверс через ИИ**: агент подключается к дизассемблеру через MCP и сам декомпилирует/ходит по xrefs/переименовывает/ставит бряки. Роль человека — направлять и валидировать
|
||
3. **Лицензия IDA**: .hexlic = офлайн JSON+подпись, ключ зашит в бинарь; keygen с приватным ключом публично не подтверждён; пропатченные сборки = вектор малвари; легально — IDA Free, Ghidra, академлицензия через вуз
|
||
4. **Ограничения ИИ-реверса**: агент уверенно ошибается в именах функций (крипто/C2/авторизация — руками); упакованный сэмпл = слабый псевдод; строки в бинарнике = промпт-инъекция против RE-агента
|
||
5. **Big Sleep** (Project Zero + DeepMind) — 0-day в SQLite до релиза, который фаззинг не поймал за 150 CPU-часов
|
||
|
||
## Файлы этого ресёрча
|
||
|
||
| Файл | Что |
|
||
|---|---|
|
||
| `rev_guide/p1..p4.md` | Гайд, 4 сообщения (до прожарки) |
|
||
| `rev-guide-v4.md` | **Финал v4.1 после прожарки** (26 правок, 102/102 ссылки) |
|
||
| `rev-guide-v4-subpost.md` | Под-пост-компаньон (1363 симв.) |
|
||
| `00-source-iishko-original.md` | Исходный пост [REDACTED] (для диффа) |
|
||
| `darktelegram_reverse_report.md` | Кейс DarkTelegram |
|
||
| `gh-reverse-catalog.json` | Каталог GitHub reverse-ресурсов |
|