webcrack
识别支持的 JavaScript 混淆模式，并拆解 webpack/Browserify 打包文件，改善代码可读性。
条件与限制
- 当前 README 指定 Node.js 22 或 24；效果取决于混淆和打包模式。
精选逆向工程资源
按目标查找工具、Agent 集成、案例与研究，查看原始来源、条件和核查日期。
99 条来源核查记录；不表示已逐项运行。 核查方法
Website · 网站
WABT
WebAssembly 二进制与文本转换、节区检查、验证、解释执行及 C 转换工具集。
条件与限制
- 选择支持目标 WASM 特性的版本；部分提案需要显式选项。
wasm-tools
Bytecode Alliance 提供的 CLI 与 Rust 库，用于检查 WebAssembly 模块、元数据、组件和 WIT 接口。
条件与限制
- 可用预编译版本或 Rust 工具链；组件/提案支持随版本变化。
Chrome DevTools MCP
连接智能体与 Chrome，检查实时页面、调试网络并记录性能轨迹。
条件与限制
- 需要受支持的 Node.js LTS、Chrome 和 MCP 客户端；所选浏览器配置与目标需在本地可用。
mitmproxy
通过交互代理、Web 界面或可脚本化命令行检查和记录 HTTP 流量。
条件与限制
- 需要配置客户端代理；HTTPS 检查需要相应的本地信任配置。已保存捕获文件与实时拦截是不同工作流。
Playwright MCP
通过结构化无障碍快照驱动浏览器交互，调查可复现的网页行为。
条件与限制
- 需要 Node.js 18+ 和 MCP 客户端；上游另有面向编码智能体的 CLI 与技能方案。
Wakaru
通过还原已识别的压缩与转译模式，从发布后的 JavaScript 包中恢复可读模块，支持拆包与现代语法恢复，便于分析生产环境前端代码。
条件与限制
- npm CLI 声明需要 Node.js >=16；v1.14.0 提供 macOS arm64、Linux arm64/x64 和 Windows arm64/x64 独立程序。
- 输入须为支持的 JavaScript 包或源码映射。没有映射时可能无法恢复原始标识符；重度控制流或虚拟机混淆需要其他工具。包名与版本清单功能仍在开发中。
Spectral
用 LLM 分析捕获的应用 HTTP 流量，生成 MCP 工具、OpenAPI 3.1 规范或 GraphQL 模式；完成抓包与认证配置后，生成的工具可直接调用已观察到的 API。
条件与限制
- 需要 Python >=3.11，通过 Chrome 扩展或中间人代理抓取流量，并配置支持的 LLM 提供商或本地 Ollama 端点。
- 已审阅的 v0.11.0 工作流依赖实际捕获的流量和有效的应用认证。分析与自动修复会调用配置的 LLM；此条目不宣称覆盖全部 API，也未验证生成工具的正确性。
jsdeob-workbench
在查看 JavaScript AST 和变量作用域的同时，可视化编排 Babel 转换链；保存分析项目与可复用插件，逐步简化混淆脚本。
条件与限制
- 通过 Node.js 和 npm 从源码运行；文档中的默认独立构建目标为 Windows。审阅时未提供 GitHub Release。
- 内置转换可能需要针对样本编写脚本，深层嵌套输入可能造成栈溢出。可选的求值辅助功能会执行代码，上游明确建议在本地沙箱中使用。
Game · 游戏
DX-Ball：重建声音声像计算
根据指令与常量重建单个声像函数；上游报告 3,205 例与 63 字节匹配。
条件与限制
- 需要匹配的 DX-Ball 1.07 可执行文件及文档描述的原生分析环境。
- 重建检查仅针对一个函数，不代表完整游戏等价；本目录未重新执行。
TH04：恢复 DOS 子弹环辅助函数
检查 PC-98 DOS 的 16 位弹幕角度辅助函数，并关联固定版本重建与历史编译器检查。
条件与限制
- 需要匹配的 TH04 原版 MAIN.EXE 及文档说明的 Ghidra DOS 加载配置。
- 展示只覆盖一个辅助函数，不支持完整游戏重建的结论。
RenderDoc
检查自己游戏或图形应用的帧捕获、绘制调用、着色器和图形资源。
条件与限制
- 需要受支持的图形 API 和重放平台；上游支持捕获自有、开源或免费项目。暂不支持 Metal。
AssetRipper
分析 Unity 游戏文件，检查资源依赖并将支持的资源转换为 Unity 工程格式。
条件与限制
- Unity 3.5.0–6000.4.X 的覆盖程度因版本而异；开源版采用 GPL-3.0，另有独立高级功能。
Cpp2IL
结合二进制与元数据分析，从 Unity IL2CPP 构建恢复托管表示；重建能力仍在开发中。
条件与限制
- 需要兼容的 Unity 构建和元数据；当前开发分支为重大重写，主要面向 .NET 9.0。
Il2CppDumper
恢复 IL2CPP 元数据及占位程序集，为原生分析工具生成辅助脚本；不会还原方法代码。
条件与限制
- 需要匹配的 IL2CPP 可执行文件和 global-metadata.dat；文档支持 Unity 5.3–2022.2。
RenderDoc MCP
向智能体开放已有 RenderDoc 捕获文件，分步检查帧、管线、资源和着色器。
条件与限制
- 需要 Windows 及可重放的 .rdc 捕获文件；维护者基准版本为 RenderDoc 1.43。可选原生 Python 后端需自行编译绑定。
UndertaleModTool
浏览和修改受支持的 GameMaker 数据文件、提取资源，以及反编译或编译 GML VM 代码；提供房间编辑、脚本化修改、CLI 和可复用的 UndertaleModLib 库。
条件与限制
- 需提供支持的游戏数据文件，如 data.win、game.ios 或 game.unx。稳定版 0.9.2.0 提供 64 位 Windows GUI，以及 Windows、Ubuntu 和 macOS 的 CLI 包。
- GML VM 代码编辑不支持 YYC，部分语言功能尚未支持。构建所审阅源码需要 .NET 10 SDK 或更新版本并递归获取子模块；构建 GUI 需要 Windows。
frida-il2cpp-bridge
在运行中的进程里检查 IL2CPP 类、方法和字段，无需提供 global-metadata.dat 即可跟踪或拦截方法调用，为静态 IL2CPP 转储工具补充运行时观察能力。
条件与限制
- 需要通过 Frida 访问运行中的 IL2CPP 应用，并使用 npm 模块。当前附带 CLI 需要 Python 3.12+（根据 typing.override 导入推断）及 Frida 工具。
- 所审阅 README 声明支持 Unity 5.3.0–6000.3.x。上游测试的平台为 Android 与 Linux；Windows、iOS、macOS 虽列为支持，但明确提示可能出现问题。审阅时最新版本为 v0.14.0。
objdiff
比较参考目标文件与重新编译目标文件中的函数和数据，辅助匹配反编译；显示指令级差异、还原 C++ 符号，并可在源码变更时自动重新构建。
条件与限制
- 需提供参考与重新编译的目标文件。项目集成和自动重新构建使用 objdiff.json 及可用的工具链与构建命令；直接 CLI 比较可传入文件路径。
- v3.8.2 提供 Windows/Linux x86_64 和 macOS arm64/x86_64 GUI，CLI 还支持其他目标。源码构建需要 Rust。支持 ARM、ARM64、MIPS、PowerPC、SuperH 与 x86/x86_64。
UE Explorer
通过类、属性与依赖树浏览 Unreal 包，反编译和导出 UnrealScript 类、检查字节码，并查看结构化二进制数据。
条件与限制
- 基于 .NET Framework 4.8 的 Windows 应用，需要受支持的 Unreal Engine 1、2/2.5 或 3 包。审阅时最新稳定版为 1.6.2。
- 不普遍支持 UE2X 和 UE4/5；文档仅列出对独立 UE4 .uasset 容器的有限实验性解析。游戏自定义引擎改动可能影响兼容性，1.6 及更早版本需要先解压包文件。
GARbro
像浏览文件夹一样查看已识别的视觉小说资源归档，预览内容，并在提取图像或音频时转换为常用格式。
条件与限制
- 需要 Windows 与 .NET Framework 4.6 或更新版本；归档浏览和转换取决于已支持的游戏及格式。加密归档可能需要凭据或选择已识别的游戏。
- 审阅时最新 GitHub 版本仍为 v1.5.44（2019-03-31）。应将其视为旧版格式工具，按具体游戏确认支持情况，不应默认兼容新游戏。
App · 应用
Aegis：追踪登录验证码计算
追踪 Aegis APK 的 TOTP 计算，官方公开目标指纹与选取的调查证据。
条件与限制
- 上游案例环境：Aegis 3.4.3、REA 6.1.0、jadx-headless-mcp 0.7.1、OpenJDK 21，Linux x64。
- 复现时使用匹配的官方 APK；本目录未重新运行该案例。
Notion：追踪剪贴板桥接
结合 REA 发现与独立源码阅读追踪剪贴板桥；动态包装器仍有明确限制。
条件与限制
- 上游案例使用 Notion Desktop 7.6.1 打包后的 JavaScript 和 REA 4.1.0。
- 完整剪贴板链路没有被自动配对，也没有作为桌面执行被观察。
JADX-AI-MCP
结合 JADX 插件与 Python MCP 服务，读取 Android 反编译代码、资源、交叉引用和调试上下文。
条件与限制
- JADX 插件和独立 Python MCP 服务都要安装；Java 11+、Python 3.10+。
frida-mcp (yfe404)
Frida MCP 服务，提供持久插桩会话、运行时检查和 Android 静态代码与动态现场之间的导航。
条件与限制
- Node.js 20+、Frida 17；设备端操作需可连接的目标及 frida-server。
Super Trouper
单个可执行文件形式的 Frida MCP 服务，用于发现设备、管理进程会话和加载插桩脚本。
条件与限制
- 预编译主机版本面向 macOS/Linux；目标需满足 Frida 连接条件。
Frida
动态插桩工具，用脚本观察和分析运行中的原生及托管进程行为。
条件与限制
- 依赖目标平台的附加、server/Gadget 或签名条件。
JADX
将 Dex 反编译为 Java 的 CLI/GUI 工具，提供 Android 资源解码、代码导航和引用搜索。
条件与限制
- Java 11+ 或内置运行时；反编译不保证完整，关键结论需对照字节码。
Apktool
将 Android 资源与 smali 解码为项目目录，并支持重新构建修改后的安装包。
条件与限制
- 需要对应版本的 Java/启动器；重建 APK 与恢复 Java 源码是不同能力。
Androguard
用于 APK/DEX 元数据、字节码及引用分析的 Python 工具集；v5 源码分支还提供智能体技能和 MCP 文档。
条件与限制
- 当前 README 区分 v5 源码与 PyPI 4.1.4；不能直接把 v5 MCP 能力归给旧包。
ILSpy
.NET 程序集浏览器与 C# 反编译器，支持完整项目导出、元数据检查和命令行处理。
条件与限制
- 选择桌面版或 ILSpyCmd 及匹配的 .NET 运行时。
dnSpyEx
dnSpy 的社区延续项目，可在没有原始源码时调试和编辑 .NET 程序集。
条件与限制
- Windows 工作流；Unity 调试另需配套运行时。
@electron/asar
Electron 官方归档工具，可列出和提取 ASAR 内容，便于检查打包后的 JavaScript 与应用资源。
条件与限制
- 当前 README 要求 Node.js 22.12+；解包本身不恢复缺失的源码映射。
Mobile Security Framework（MobSF）
通过 Web 界面与 API 检查移动应用包，结合静态分析及受支持设备上的动态测试，分析运行时行为与网络流量。
条件与限制
- 文档中的容器方案建议使用 Docker 20.10+；动态分析还需要容器可访问的受支持设备或模拟器。
- Android 动态分析支持已 root 的 Android 4.1–11，最高 API 30；该流程不支持 Android 12 及以上版本。
- iOS 动态分析使用 Corellium 或越狱设备；真实设备方案标为测试阶段。
Native Binary · 原生二进制
DownUnderCTF：masked-squares 校验器
官方教育 CTF 案例：从检查函数得到方程，并记录原程序验证过程。
条件与限制
- 上游案例使用公开的 DownUnderCTF 2023 题目、REA 4.1.0、Ghidra 12.1.4，运行于 Linux x64。
- 文档提供目标摘要与源码版本；本目录未重复作者报告的执行。
Ghidra
开源二进制分析套件，提供反汇编、反编译、图形分析及 Java/Python 自动化接口。
条件与限制
- 使用正式发行包及对应 JDK；扩展需匹配 Ghidra 版本。
radare2
可脚本化的命令行逆向框架，支持多架构二进制检查、反汇编、调试和修改。
条件与限制
- 按主机平台选择发行版；反编译器等能力可能来自独立插件。
Cutter
基于 Rizin 的图形逆向工作台，提供可扩展视图及 Ghidra 反编译器集成。
条件与限制
- Linux/macOS/Windows 桌面工具；插件需匹配发布版本。
Qiling
在 CPU 仿真之上补充操作系统、文件系统和 API 行为的 Python 框架，用于可插桩的二进制分析。
条件与限制
- 需为目标准备对应的根文件系统和依赖库；平台仿真覆盖有边界。
Unicorn Engine
多架构 CPU 仿真引擎，可控制寄存器、内存和钩子，执行选定的指令片段。
条件与限制
- 要自行提供 CPU 状态、内存和外部行为；不是完整操作系统模拟器。
angr
结合控制流恢复、符号执行、数据流分析和反编译的 Python 二进制分析框架。
条件与限制
- 需要 Python 环境，以及合理的输入、状态和外部函数模型。
LIEF
对 ELF、PE、Mach-O 等可执行文件格式进行结构化解析与修改的库。
条件与限制
- C++/Python/Rust 接口；核心与扩展版功能需分别核对。
Capstone
提供统一 API 和指令细节的多架构反汇编库，适合构建自定义二进制分析流程。
条件与限制
- 按 ISA 和模式选择绑定/版本；开发分支与稳定版本可能不同。
ImHex
带二进制模式语言、结构化数据检查及可视化功能的十六进制编辑器，适合理解文件格式。
条件与限制
- 桌面或 Web 版本；数据来源及功能可用性因平台而异。
x64dbg
Windows 二进制调试器，通过反汇编、内存视图和插件分析没有源码的程序。
条件与限制
- Windows；根据目标位数选择 x32dbg 或 x64dbg。
GDB
支持本地与远程调试，可控制执行并检查运行中或崩溃后的程序状态。
条件与限制
- 调试器需支持目标架构；可使用本地进程、核心转储或远程调试端点。
rr
记录进程执行并在 GDB 下重放，便于重复检查现场和反向执行。
条件与限制
- Linux；需要支持的 CPU 性能计数器，虚拟机另需计数器虚拟化。
Diaphora
基于 IDA 的二进制差异分析工具，可匹配函数并迁移名称、注释与类型信息。
条件与限制
- 依赖 IDA 与 Python 3；伪代码/微码比较取决于反编译器能力。
BinDiff
比较反汇编后的二进制文件，定位不同版本中的对应函数与代码变化。
条件与限制
- 需要单独的反汇编/导出流程；官方说明覆盖 IDA、Binary Ninja 和 Ghidra。
Detect It Easy
结合格式解析器、签名和可编程启发式规则进行文件识别与静态检查。
条件与限制
- 从项目指向的 DIE-engine 发行版获取程序；签名与启发式结果仍需判断。
objection
通过基于 Frida 的命令界面探索运行中的 Android 与 iOS 应用，检查应用存储、内存、运行时对象和插桩后的行为。
条件与限制
- 当前软件包元数据要求 Python 3.11+ 和 Frida 16+，应以此为准，而非安装 Wiki 中仍保留的旧 Python 最低版本。
- 目标需满足文档中的 Frida 附加或应用修补流程。Android 修补需要 Android 构建工具及 Apktool 2.9.0+；iOS 修补需要文档规定的 Xcode 与签名工具。
r2frida
结合 radare2 命令与 Frida 插桩，检查桌面和移动目标中本地或远程进程的内存、符号、类及运行时调用。
条件与限制
- 通过 r2pm 安装，或使用与 radare2 主版本和次版本 ABI 匹配的插件构建；复核时 README 说明 CI 测试覆盖 radare2 6.2.2 和主分支。
- 移动或远程操作需要可连接的 Frida 目标，例如通过 USB 或 TCP 连接的 frida-server。插件包含主机端 Frida 库，无需单独安装主机端 frida-tools。
Firmware · 固件与硬件
PicoPrint：LX-D02 打印机调查
作者报告以 REA 开始 Android 调查，再借助独立 Hermes 工具实现 Windows BLE 打印。
条件与限制
- README 列出 Windows 10/11、蓝牙 LE、LX-D02 打印机；编译需 Go 1.25+。
- 作者说明 REA 用于就绪检查、设备发现和调查组织，Hermes v98 由 hermes-dec 处理。
- 本目录未复现硬件行为或作者报告的结果。
Binwalk
识别固件中的嵌入格式并按需提取内容，辅以熵分析帮助初步分诊。
条件与限制
- v3 为 Rust 实现；提取能力依赖外部工具或完整容器环境。
unblob
递归提取二进制数据中的归档与文件系统，同时报告数据块边界和未识别区域。
条件与限制
- 需 Python 包及外部解包器，或带依赖的容器镜像。
Ghidra 固件工具集
面向 PCI Option ROM、UEFI 固件卷、Intel Flash Descriptor 和 coreboot 镜像的 Ghidra 加载器与辅助脚本。
条件与限制
- 当前构建要求 Ghidra 12.0+、JDK 21+，仍须与实际安装环境匹配。
EMBA
提取固件，结合静态检查与仿真分析，整理软件组件清单，并生成 Web 报告和 SBOM，供进一步调查。
条件与限制
- 上游建议使用 x86-64 Kali Linux 虚拟机和默认 Docker 模式，也列出 Ubuntu 22.04/24.04。不支持在 ARM 上原生运行。
- 文档建议至少 16 GB 内存、8 个 CPU 核心及 30–100 GB 可用磁盘空间；更大固件或更多并行任务需要更多资源。
- 外部依赖通过项目安装器配置。仿真可能执行固件内容；上游将开发者模式限定用于开发，检测结果仍需分析判断。
固件分析与比较工具（FACT）
通过可扩展平台解包和分析固件，使用 Web 界面与 HTTP API 搜索组件内容和分析结果，并比较不同样本。
条件与限制
- 复核时安装器支持 Debian 13 和 Ubuntu 22.04/24.04/26.04；Kali 为实验性支持。README 列出的 Python 范围为 3.10–3.14。
- 文档最低配置为 4 个 CPU 核心、8 GB 内存和约 10 GB 安装空间，另需为解包固件和结果预留存储。
- 独立的 FACT_docker 发行项目已标记为无人维护，应采用文档中的本地安装或 Vagrant 方案。部分分析插件使用独立许可证。
OFRAK
通过资源树图形界面与 Python API，递归识别、解包、分析、修改和重新打包固件及二进制格式，并可接入可选反汇编后端。
条件与限制
- PyPI 安装指南要求 Python 3.9+ 及各格式所需的外部工具；macOS 还需 cmake 和 libmagic，并应避开文档指出存在回归问题的 libmagic 5.47。
- Docker 构建需要 BuildKit，Docker 23+ 默认启用。Ghidra、Binary Ninja 等分析后端具有各自的安装与许可要求。
- OFRAK 使用其独立的社区许可证，面向个人和教育用途；商业用户应查看独立的 Pro 或 Enterprise 许可条款。
FirmAE
仿真路由器与 IP 摄像机固件，检查网络服务和运行时行为，提供自动仿真检查，以及独立的分析、运行和调试模式。
条件与限制
- README 将 Ubuntu 20.04 列为测试主机；需准备包含子模块的源代码、下载的依赖、已初始化数据库及受支持的固件镜像。
- 安装器会配置 QEMU、PostgreSQL、提取工具等主机软件包；文档中的运行模式需要提升权限，也提供 Docker 编排方案。
- 仿真能否成功取决于固件镜像；上游基准结果不保证适用于未经测试的设备或更新的主机发行版。
Agents & MCP · Agent 与集成
REA — Reverse Engineer Anything
REA 官方 CLI 与 MCP 服务，连接分析工具并保留调查证据及限制。
条件与限制
- 复核时 npm 已发布 rea-agents 6.5.0。
- Node.js ^22.19.0、^24.11.0 或 >=26.0.0；额外工具取决于分析目标。
官方 reverse-engineer-anything 技能
官方面向使用者的调查技能，包含目标路由、连接恢复与证据工作流。
条件与限制
- 安装技能提供工作流指引，不会自动注册 MCP 或安装分析引擎。
- 以连接中的实际工具模式定义为准；仓库主分支可能领先于已安装版本。
dsh-mcp-rea
社区 MCP 适配桥，以精选工具和 CLI 转发缩小宿主需要处理的工具面。
条件与限制
- 需要 REA 及相应分析引擎；以本地打包组件发布，不是公开 npm 包。
- 直接执行使用文档中的 REA_ENTRY 模式；PATH 回退方式会调用命令解释器。
- 其平台与引擎说明可能滞后于上游；本目录未安装或开展安全审计。
rea-jev
Claude Code 社区插件，在固定版本 REA MCP 外增加 Jev 路由和证据检查。
条件与限制
- 需要 Claude Code、受支持的 Node.js，以及插件文档规定的 macOS/Linux 环境。
- 可选 Jev 服务凭据用于外部模型调用，代码片段可能发送到该服务。
- 引擎失败时钩子允许流程继续，不构成安全保证。
rea-casebook
Claude Code mod 汇集收到的 REA Evidence、追踪 unknown，并校验发现所引用的证据 ID。
条件与限制
- README 要求 Claude Code 2.1.296+，并将 MCP 服务注册为 rea。
- 开发环境为 Windows、REA 6.4.0、Ghidra 12.1；本目录未测试更广泛环境。
- 存在 Evidence ID 本身不能证明结论正确。
Hex-Rays IDA MCP
Hex-Rays 官方 MCP 服务，让智能体操作 IDA 数据库，支持无界面分析和可选 GUI 联动。
条件与限制
- IDA 9.4+、idalib、Python 3.11+、Git 和 uv；GUI 插件按需安装。
GhidraMCP
通过 Ghidra 扩展和 MCP 桥接提供反编译、符号导航与重命名，支持 GUI 和无界面运行。
条件与限制
- Ghidra 与扩展版本必须匹配；桥接需要 Python，无界面模式另有 PyGhidra 条件。
Binary Ninja MCP（官方）
Binary Ninja 自带的 MCP 接口向智能体提供函数、符号、反汇编、中间语言和反编译文本。
条件与限制
- 核验的是开发版文档；GUI 使用 HTTP，无界面 stdio 需要 macOS/Linux 的 Commercial 或 Ultimate。
Binary Ninja MCP（fosdickio）
社区维护的 Binary Ninja 插件与 MCP 桥接，支持在多个已打开的二进制目标间切换。
条件与限制
- 需安装 Binary Ninja 插件及客户端桥接；README 要求 Python 3.12+。
IDA Pro MCP（mrexodia）
已有工作流可参考的社区 IDA 集成；维护者目前推荐迁移到 Hex-Rays 官方 MCP 服务。
条件与限制
- 需要 IDA Pro；新配置先看维护者指向官方服务的迁移说明。
Radare2 MCP Server
基于 radare2 原生接口的 MCP 服务，提供二进制分析、会话复用和可配置的只读访问。
条件与限制
- 需要匹配的 radare2/r2pm；HTTP 多会话功能受 radare2 ABI 约束。
r2ai
在 radare2 内使用本地或远程模型，辅助解释函数、改善命名和反编译结果。
条件与限制
- 需要 radare2 插件及本地模型或远程模型服务凭据。
DAILA
跨 IDA、Ghidra、Binary Ninja 与 angr-management 的 AI 助手，用于函数摘要和命名辅助。
条件与限制
- 需要受支持的反编译器和模型后端；Ghidra 按文档启用 PyGhidra。
RevEng.AI Ghidra 插件
将 Ghidra 接入 RevEng.AI，用于函数相似性匹配、名称恢复、AI 解释及辅助标注。
条件与限制
- 需要 RevEng.AI API key；创建服务端分析会上传所选二进制。
LLDB MCP
LLDB 官方 MCP 接口提供调试会话与命令，使智能体可以设置断点、检查内存和单步执行。
条件与限制
- 需要包含 lldb-mcp 的 LLDB 构建；不能默认系统预装版本已具备此接口。
Claude 逆向工程技能
社区智能体技能，覆盖分诊、无界面导出和证据报告，并明确说明 REA 及其他 MCP 服务的工作流。
条件与限制
- Python 3.8+；分析引擎和 MCP 服务独立配置，属于社区项目。
SpecterOps 逆向工程技能
针对 Binary Ninja 与 Ghidra 的分析技能，提供 MCP 工具使用、分析步骤和标注方法。
条件与限制
- 只提供方法与参考，Binary Ninja/Ghidra MCP 需要另行安装配置。
References & Learning · 文档与学习资料
安装与客户端配置
安装、客户端配置、分析引擎依赖及按任务检查就绪状态的官方入口。
条件与限制
- 需要受支持的 Node.js 和 npm。
- Setup 会预览客户端配置改动；原生分析引擎有各自的前置条件。
CLI 与 Evidence
保存完整 Evidence，再提取摘要或模块视图，适合脚本与可复现记录。
条件与限制
- 需要已安装的 REA CLI，或显式固定版本的包运行器。
- 不同 CLI 调用是独立进程，后续处理应保留结果文件。
MCP 接口约定与生成目录
官方工具协议、能力发现和 Evidence 语义；适合集成与核对实际工具边界。
条件与限制
- 实时使用需要兼容的 MCP 客户端。
- 依赖主分支文档中的工具前，先查询已连接服务的实际目录。
原生二进制调查
从函数清单到指令、伪代码和引用链的原生二进制调查流程。
条件与限制
- 需要目标二进制及已配置的 Ghidra、Hopper 或 IDA 等受支持分析引擎。
- 主机、架构和引擎的支持范围分别限定；伪代码不等于原始源码。
跨层 JavaScript 应用工作流
从 JavaScript 应用图追踪功能、比较版本，同时保留静态分析的不确定性。
条件与限制
- 使用 analyze_javascript_application 或受支持运行时对照产生的 Evidence。
- 静态 JavaScript 分析不需要原生引擎；保留完整父级 Evidence。
Android APK 静态分析
经 REA 的 JADX 集成检查 APK、类、方法与引用；结果不等于运行时验证。
条件与限制
- 需要完整 JDK 17+，并自行提供 jadx-headless-mcp 0.7.1，按文档核对摘要。
- Linux 需要兼容 procps 的 ps，以检查分析引擎进程归属。
托管代码分析
静态读取 .NET 元数据与 CIL，比较成员并检查声明的原生代码边界。
条件与限制
- 需要受支持的 PE/CLI 程序集；元数据与 CIL 检查不需要原生引擎。
- NativeAOT、IL2CPP 和打包为单文件的部署具有不同分析边界。
历史网站网络记录
离线检查已有 HAR、SAZ 等网页流量记录；不会自动抓包或访问记录中的 URL。
条件与限制
- 需要已保存的受支持捕获文件，并显式指定格式。
- PCAP/TShark 是独立工作流，主机与工具要求不同。
固件分析
用 Binwalk 检查固件区域、用 Unblob 显式提取，并记录工具与制品身份。
条件与限制
- 自行提供 Binwalk 3.1.x 进行检查、Unblob 26.6.x 进行提取。
- 上游记录的验证范围为 Linux x64；提取需要新的、自行指定的输出目录。
浏览器观察指南
通过官方 Notes 示例关联用户点击、导出请求与下载结果；REA 负责观察。
条件与限制
- 需要自有的 Chrome 系浏览器、本地回环 CDP 连接及明确允许的来源。
- 上游示例由独立控制器执行点击，REA 本身没有完成点击操作。
JavaScript 与 Electron：追踪 CSV 导出
官方自建 Notes 样例，从 renderer、preload、IPC 到 CSV 导出建立证据链。
条件与限制
- 需要受支持的 Node.js 和 REA；这个静态教学样例无需原生分析引擎。
- 样例是作者自有源码教学材料，不是已安装的 Electron 发行包；静态发现不证明实际执行。
rea-playbook
提供 Electron 练习目标、Evidence 提取与 MCP 探测，区分离线展示和真正调用 REA。
条件与限制
- README 将真实分析路径固定为 rea-agents 6.3.0，并列出支持的 Node.js 版本。
- 离线演示读取已附带的结果，不会执行 REA；本目录未重新运行其测试。
rea-lab
Windows REA/Ghidra 实验室，提供已知答案挑战、公开研究、上游贡献与限制说明。
条件与限制
- 文档环境为 Windows 11、REA 6.4.0、Ghidra 12.1.4。
- 研究结果由作者报告，依赖具体任务和模型，本目录未独立复现。
- 代码与文档使用不同许可，请检查对应的仓库声明。
OpenSecurityTraining2
免费的自主学习课程，提供逆向工程、固件和系统基础等学习路线。
条件与限制
- 按课程说明选择前置知识与实验环境。
pwn.college：逆向工程
包含托管练习的逆向工程课程，覆盖函数、数据访问、静态工具和动态工具。
条件与限制
- 托管挑战需要平台账户及其运行环境。
逆向工程入门
Dennis Yurichev 编写的免费逆向入门书，以汇编与编译后程序理解为核心，提供多语言版本。
条件与限制
- 可在线阅读或下载 PDF；练习使用书中相应工具链。
radare2 官方手册
radare2 官方实践参考，覆盖分析、反汇编、脚本、调试及相关插件。
条件与限制
- 官方列出最低 radare2 5.8.x，建议使用当前发布版本。
LLM4Decompile（EMNLP 2024）
研究使用语言模型直接反编译二进制，以及改进 Ghidra 输出。在 HumanEval 与 ExeBench 上评估重新执行能力，可用于区分代码可读性与功能恢复。
条件与限制
- EMNLP 2024 论文。结论来自作者在特定模型与基准上的实验；本目录未独立复现。
DecompileBench（Findings of ACL 2025）
结合真实程序函数、运行时验证与 LLM 辅助可用性评判的反编译基准，用于比较反编译器的功能正确性与代码可理解性。
条件与限制
- Findings of ACL 2025 论文。LLM 评判与运行时正确性衡量不同属性；本目录未独立复现论文结果。
ReSym（CCS 2024）
结合语言模型与程序分析，从去符号二进制中恢复变量和用户定义数据结构的符号信息。作者提供训练、推理、评测与后验推理材料。
条件与限制
- CCS 2024 论文及作者提供的实验材料。符号与类型恢复不等于完整恢复原始程序；本次收录未运行其代码。