Binary Ninja 逆向工作流

何时使用 / 何时不用

用：需要 MLIL 中间语言（比裸反汇编可读得多）阅读函数逻辑；Python 脚本自动化标注/批处理；按预算选型（个人版/商业版）
用：需要 DFG 数据流图（寄存器/常量传播路径可视化）追踪单条数据的流向（密钥、标志位）
用：多架构目标（x86/ARM/MIPS/RISC-V/PowerPC 等常见架构均支持，移动/嵌入式目标可直接分析）
用：RE_DECOMPILER=binaryninja 场景下作为反编译器
不用：已有 Ghidra/IDA 工作流且无选型动机（按 RE_DECOMPILER 会话变量，re-ghidra 默认）
不用：纯命令行快速分析（re-radare2 更轻）；无头批处理最简场景（re-ghidra analyzeHeadless 生态更成熟）
不用：动态调试为主的目标（BN 内置调试器处于实验阶段——调试走 re-gdb / re-x64dbg / re-lldb）
不用：个人版做大规模无头自动化（headless 是商业版能力，见 gotchas）

工具准备

参考 re-analyze/platform-tips——Binary Ninja 静态分析免沙箱；脚本触发动态执行时默认沙箱内。

Binary Ninja（商业，有个人版）

下载/购买: 官网 binary.ninja（Commercial 商业版 / Personal 个人版；个人版仅限个人用途，自动化与部分功能按版本受限；另有免费 Free 档）
Free 版: 无 API 与插件访问、IL 受限；支持架构 x86 / x86_64 / armv7+Thumb2 / armv8——需要 MLIL 或脚本自动化时按预算升档
Windows: 安装器直接运行；macOS: brew install --cask binary-ninja（社区 cask，需已有 license）；Linux: 官网 tar 包解压运行 ./binaryninja
容器格式: 直接导入 PE/ELF/Mach-O/Dalvik/固件 ROM 等（不需要单独解包步骤）；带壳目标例外（壳段未解密，先脱壳）
验证: 打开任意样本完成自动分析，Functions 面板有函数列表；Options > About 显示 license 类型
Linux 无图形环境: GUI 版需要 X 显示（xvfb-run ./binaryninja 可临时跑）；批量任务直接走 headless（商业版），headless 不需要显示器
版本差异: 6.x 为当前主线；6.0 起插件管理器重构为 Extension Manager（旧 pluginmanager 仅保留 shim）、bundled Python 升至 3.13（首次覆盖 Linux）而外部 Python 最低仍 3.10——2.x → 3.x → 4.x → 6.x 主版本间有破坏性 API 变更，脚本依赖先查 core_version() 与发行说明（见 gotchas）

binaryninja Python API

安装: Binary Ninja 安装目录下运行 python install_api.py（把 API 注册进 Python 环境；PyPI 无 binaryninja 包，pip install binaryninja 会失败）
安装脚本会检测/提示匹配的 Python 版本——版本不匹配时脚本报错或注册失败，按提示换 Python 版本
验证: python3 -c "import binaryninja; print(binaryninja.core_version())" 输出与软件版本一致的版本号
无头批处理（商业版）: 没有 binaryninja-headless 可执行文件——正路是 install_api.py 注册后直接写脚本 binaryninja.load()（见 commands 序列 2）；headless license 走官方独立下载包（无 GUI，仅 headless license 可下载）

操作步骤

导入与分析：
- File > Open 选样本 → 自动分析（底部进度条）→ 左侧 Functions / Data / References 视图确认分析结果
- 确认: 入口函数（entry）被识别、导入表（Imports 视图）有内容、字符串（Strings 视图）可见
- 分析异常（函数少/字符串乱）→ 可能带壳，先 re-packer-id / re-anti-analysis
- 分析选项: Options > Analysis 勾选/关闭 pass——首次导入大文件或带混淆样本时先看这里，默认全开会慢
MLIL 阅读（IL 视图切换）：
- 双击函数进入反编译视图（默认 HLIL 高语言 IL）；i 在反汇编/LLIL/MLIL/HLIL 间循环，或右下角 Options 菜单选 IL 级别
- MLIL 特点: 变量显式化（rax = rax ^ 0xdeadbeef）、类型恢复、条件跳转语义化——比裸反汇编可读，重点函数先看 MLIL 再下结论
- MLIL 示例（反汇编 vs MLIL）：cmp eax, 0x1337 / jne L1 / mov byte [rdi], 1 / jmp L2 / L1: mov byte [rdi], 0 / L2: ... → MLIL 直接呈现 if (rax == 0x1337) *(uint8_t*)rdi = 1; else *(uint8_t*)rdi = 0;——读逻辑不用逐条跟跳转
- 反编译不清晰时降级: MLIL → LLIL（View > IL > LLIL，低语言 IL，保留指令级细节）→ 反汇编（Space/汇编视图）逐层核对
- 注意: m 键在 Binary Ninja 里是「整数应用枚举显示」，不是 MLIL 切换——切 IL 用 i
重命名 / 类型：
- 重命名: 光标在符号/变量上 n（或右键 Rename）——函数、变量、全局数据均可
- 改类型: y（如 void *、DWORD、int (*)(void *, size_t)），类型传播自动改善后续反编译质量
- 定义结构体: Types 面板新建 Structure → 应用到变量/指针 → 字段名随类型传播进反编译视图
- 其他类型快捷键: o 设指针引用、a 设字符数组、d 循环整型宽度、* 建数组（见 commands 快捷键表）
Python 脚本（自动化标注）：
```
import binaryninja
bv = binaryninja.load("sample.bin")
bv.update_analysis_and_wait()          # 无头模式：手动触发完整分析
for f in bv.functions:
    if f.analysis_skip_reason is None and f.medium_level_il:
        n = len(list(f.medium_level_il.instructions))
        if n > 200:
            print(f"big function: {f.name} @ {hex(f.start)} len={n}")
```
- 批量改名: bv.get_function_at(0x401000).name = "check_license" 后 bv.save() 写回
- 导出反编译文本: str(f.high_level_il) 直接拿 HLIL 伪代码字符串——批量导出函数逻辑的最快方式
- 插件: 6.x 经 Extension Manager 管理（旧 File > Manage Plugins 的职责并入其中）；插件目录按平台：Windows %APPDATA%\Binary Ninja\plugins、Linux ~/.binaryninja/plugins、macOS ~/Library/Application Support/Binary Ninja/plugins（macOS 非 ~/.binaryninja，放错不会被加载）
- 自写脚本先 File > Python 面板试跑（能看到 print 输出与异常），稳定后再转插件或无头脚本——调试脚本比跑完看结果快得多
- 无头模式: 商业版可用 headless——没有 binaryninja-headless CLI，正路是 install_api.py 注册后写脚本（binaryninja.load() + update_analysis_and_wait()，即上文代码结构）；headless license 用官方独立下载包；个人版受限时用 GUI 内 File > Python 面板执行同样代码
- 无头脚本出错不会弹窗——异常直接打到 stderr/日志文件，排错看输出尾部与 bv.log_info 痕迹
字符串/引用定位链：
- Strings 视图找提示串 → 双击进反汇编 → 右键 Show References（或 xrefs 面板）→ 跳到引用函数 → MLIL 阅读
- 字符串多时按引用数/长度排序（点列头）优先处理被多处引用的串——通常是错误提示/格式串等关键节点
- 与 re-ida 的 Alt+T→x→F5、re-radare2 的 izz→axt→pdf 同思路；批量标注用 bv.get_strings() + f.get_callers() 脚本化（见 commands 序列 2）
DFG 数据流图（单值流向追踪）：
- 在 MLIL/HLIL 视图中右键某条指令 → Show DFG——从该指令出发的变量/常量传播路径图
- 场景: 追踪密钥/标志位从加载到比较的完整路径；DFG 比逐条读 MLIL 快，适合「这个值从哪来/去哪了」问题
- 配合 x/右键 Show References 交叉验证调用边界；DFG 视图 Esc 退出返回原视图
证据核对（收尾）：重命名/类型/注释随 bv.save() 落盘存档；无头导出产物（函数清单/HLIL 文本）与 re-triage 初勘值对照；关键结论写 re-analyze/analysis-contract——标注要能还原成报告，别只留在项目里
交叉验证（多反编译器互证）：同一函数用 re-ghidra / re-ida（若有）反编译对比——MLIL 与 Ghidra 伪代码结构一致时结论可信度提升；差异大时回 LLIL/汇编核对，优先相信汇编层证据
对比选型（价格 / 插件生态）：
- 价格: Binary Ninja（商业付费，个人版便宜但限个人用途）vs re-ida（最贵）vs re-ghidra（免费开源）vs re-radare2（免费开源 CLI）
- 生态: Ghidra 社区最大、脚本（Java/Python/无头）最成熟；IDA idapython 插件历史最久；Binary Ninja 插件数较少但 API 设计现代（Python 优先）
- 决策: 预算敏感 → Ghidra/radare2；要 MLIL 可读性 + Python API → Binary Ninja；已有 IDA 授权 → 保持 IDA，本技能只在换栈时用

跨域联合

re-binary-core：工作流第 5 步反编译器备选（RE_DECOMPILER=binaryninja）
re-ctf：逆向题反编译与脚本求解
re-malware：恶意样本深度分析（Python 批量标注导出）
re-cracking：授权/校验算法还原
re-kernel：驱动反编译可选工具（与 re-ghidra / re-ida 三选一）
re-android-native / re-ios：移动原生库（ARM64 指令 + 符号少）分析时 MLIL 可读性价值明显
re-game：游戏二进制（反编译 + 脚本批量标注）可选工具
与 re-ghidra / re-ida 间无直接工程互导格式，换栈时按函数手搬或脚本统一标注

常见坑与陷阱

MLIL 对混淆代码失真：现象——花指令/控制流平坦化样本反编译出诡异结构（死代码、恒假条件）；原因——MLIL 基于数据流重建，混淆破坏控制流信息；对策——降到 LLIL/汇编交叉验证，或先 re-deobfuscate 再导入
脚本 API 版本差异：现象——import binaryninja 报版本错/行为与文档不符；原因——pip 包与安装软件主版本不匹配（API 大版本间不兼容）；对策——重跑安装目录 install_api.py 对齐版本，core_version() 与 About 版本比对
无头模式用法：现象——个人版 binaryninja.headless 不存在；原因——headless 自动化是商业版能力，个人版裁剪；对策——个人版用 GUI 内 File > Python 面板跑脚本，或脚本里只做 load + update_analysis_and_wait 的替代路径
大二进制首次分析慢/内存高：现象——100MB+ 样本分析数分钟甚至卡死；原因——默认分析 pass 全开；对策——Options > Analysis 关掉多余 pass（如只保留 dataflow 与 decompile 需要的最小集），或只对重点函数做分析（f.analysis_skip_override 思路）
patch 后结果没变（忘了重分析）：现象——bv.write 改了字节，反编译输出还是旧的；原因——分析结果缓存未失效；对策——改完调用 bv.update_analysis_and_wait() 强制重分析，或重新加载
项目库与样本分离：.bndb 项目库保存全部标注，样本本身不变——分发标注时传 .bndb（注意版本兼容），别指望样本里带上标注；写回样本字节是另一回事（脚本里 bv.write + 保存按官方 patch 流程走）
宽字符/UTF-16 字符串乱码：现象——Strings 视图中文/宽字符串显示乱码或分裂；原因——数据变量宽度判定错误；对策——选中数据后右键设 2 字节宽（或脚本 bv.get_data_var_at 后改类型），再触发分析
版本差异、插件/无头细节与快捷键对照见 gotchas / commands

12 KiB Raw Blame History Unescape Escape

Binary Ninja 逆向工作流

何时使用 / 何时不用

工具准备

Binary Ninja（商业，有个人版）

binaryninja Python API

操作步骤

跨域联合

常见坑与陷阱

12 KiB

Raw Blame History