# 精选逆向工程资源 · 第 37 页

> 第 37/52 页，第 3,601–3,700 项。5,191 项工具、项目、集成、案例与参考资源，覆盖网站、游戏、应用、原生二进制、固件及通信协议。每个条目都保留一手来源链接、使用要求与复核日期。

“来源已复核”表示说明已依据一手文档核对。完整的使用条件与来源列在各条目页面，本页显示其数量和复核日期。

- HTML：<https://awesomerea.org/zh/resources/page/37/>
- JSON：<https://awesomerea.org/api/v1/resources.json>
- English：<https://awesomerea.org/resources/page/37/index.md>

## 原生二进制 (100)

- [Quokka 二进制导出工具](https://awesomerea.org/zh/resources/quokka-binary-exporter/index.md)：工具 · Quarkslab 的二进制导出工具，受 BinExport 启发，把反汇编器的分析结果保存为 protobuf 格式的 .quokka 文件，此后无需反汇编器即可使用其中的函数、基本块、数据、交叉引用、段以及可选的反编译代码。其 Python 绑定将导出文件与原始二进制一并载入，运行时用 Capstone 解码指令，也可选用 pypcode 将其提升为 P-code，并通过统一的 API 提供程序、函数和控制流图。main 分支在 IDA Pro 插件之外新增了 Ghidra 与 Binary Ninja 导出器、可并行批量导出的 quokka-cli，以及可写回 IDA 数据库的名称和类型编辑。
- [knife 静态逆向工程工具包](https://awesomerea.org/zh/resources/knife/index.md)：工具 · 以 Rust 编写的静态逆向工程工具包，安装后为 knife 命令，可在不运行目标的情况下解析 PE、ELF、Mach-O 和 WebAssembly 文件。它能分诊哈希、节区、缓解措施、导入、字符串、威胁指标和加密常量；通过面向 x86/x64 与 AArch64 的递归下降反汇编恢复函数、调用图和控制流图；还能把函数提升为实验性伪代码。分析者添加的命名、注释、类型和暂存补丁保存在按二进制区分的数据库中，由命令行、终端界面和 MCP 服务器共享；另有分析步骤按参数来源对有风险的 API 调用点排序，并汇总 Windows 驱动的派发例程和 IOCTL 接口。
- [BARF 二进制分析与逆向工程框架](https://awesomerea.org/zh/resources/barf/index.md)：工具 · 一个 Python 二进制分析框架：加载 ELF 和 PE 程序，借助 Capstone 反汇编 32 位与 64 位 x86 及 32 位 ARM 代码，并将其翻译为 REIL 中间语言，使各项分析不依赖源架构。其模块可恢复控制流图和调用图、模拟执行 REIL，并把代码片段转换为 Z3 或 CVC4 公式，以检查寄存器和内存上的约束；0.6.0 版加入了基础的符号执行。随附的命令行工具可恢复 CFG 和调用图、重放 x86 执行轨迹，以及搜索、分类和验证 ROP gadget。
- [rabbitizer MIPS 指令解码器](https://awesomerea.org/zh/resources/rabbitizer/index.md)：工具 · 使用 C 编写、完全不在堆上分配内存的 MIPS 指令解码器，同一仓库还提供 Python、C++ 和 Rust 绑定，目标是生成可匹配的汇编。它逐条解码指令字，重点支持 MIPS I 至 III，部分支持 MIPS IV，还能处理 N64 的 RSP、PlayStation 的 R3000 GTE、PSP 的 R4000 Allegrex 以及 PS2 的 R5900；提供指令有效性检查、按特征分组查询指令、可配置的伪指令与寄存器命名，以及用于自建指针和符号检测的小工具。匹配式反编译工具以它为基础：splat 和 spimdisasm 都把它列为 Python 依赖。
- [ghidrecomp 命令行 Ghidra 批量反编译工具](https://awesomerea.org/zh/resources/ghidrecomp/index.md)：工具 · 通过 pyghidra 驱动 Ghidra 的 Python 命令行反编译工具：把二进制中的所有函数分别反编译为独立的 C 文件，或借助 Ghidra 的 C++ 导出器生成一个 C 文件和头文件，并保留 Ghidra 项目以便后续运行复用分析结果。可按正则筛选函数，从本地文件或 Microsoft、Chromium、Mozilla、Intel、NVIDIA、AMD 符号服务器应用 PDB 符号，加载额外的 GDT 数据类型库，输出 Mermaid 调用图 Markdown，生成 BSim 函数签名，并用 Semgrep 规则扫描反编译代码、输出 SARIF 报告。
- [Vivisect 二进制分析与调试框架](https://awesomerea.org/zh/resources/vivisect/index.md)：工具 · 纯 Python 编写的逆向工程框架，集成了 vivisect 静态分析器、vtrace 调试库和 vdb 调试器。Vivisect 可将 PE、ELF、Mach-O、Intel HEX、S-record 和原始数据块文件载入工作区，借助 envi 架构模块对 x86、AMD64、ARM、Thumb、AArch64、MSP430、H8 和 Z80 代码进行反汇编和模拟执行，并提供符号执行、Qt 图形界面和远程工作区服务器。vtrace 可在 Windows、Linux、FreeBSD、macOS 和 Solaris 上控制进程，另有 GDB stub 和 VMware 后端。
- [r2pipe radare2 多语言脚本接口](https://awesomerea.org/zh/resources/r2pipe/index.md)：工具 · radare2 官方的脚本接口，同一仓库内收录了二十多种语言的实现。所有绑定都向 radare2 发送命令字符串并返回其文本输出，这正是 r_core_cmd_str() 背后的设计；README 建议请求 JSON 输出并将其解码为本地语言对象，而不是直接调用 C API。绑定可经由从 r2 内部运行脚本时的 R2PIPE_IN/R2PIPE_OUT 管道、新启动的 r2 -q0 进程、TCP、HTTP 或 radare2 自有的 RAP 协议连接，其中许多支持异步调用；r2pipe 脚本还可用于实现反汇编器、IO 后端或 ESIL 系统调用处理器等 radare2 插件。
- [GREASE 欠约束符号执行二进制分析工具](https://awesomerea.org/zh/resources/grease/index.md)：工具 · Galois 开发的命令行工具、Ghidra 插件和 Haskell 库，借助欠约束符号执行检查二进制程序的性质。它把 AArch32、PowerPC 或 x86_64 的 ELF 可执行文件和共享对象（或 LLVM bitcode）转换为控制流图，从所有寄存器均为符号值的状态模拟每个函数，并在发生越界访问后逐步扩充推断出的内存布局，最终报告除零、非法内存访问等可能的未定义行为，并给出具体化的参数。内置覆盖（override）或用户以 Crucible S 表达式语言编写的覆盖可模拟外部库函数，插件则在 Ghidra 中展示结果。
- [PLASMA 交互式反汇编器](https://awesomerea.org/zh/resources/plasma-disassembler/index.md)：工具 · 交互式终端反汇编器，旧名 Reverse，支持 x86 与 x86-64，并部分支持 ARM 和 MIPS/MIPS64，可读取 ELF、PE 和原始二进制。其可视化模式以缩进、着色的伪代码显示函数，分析者可通过反转条件跳转来调整控制流；Python API 可运行脚本，用于提取字符串、生成交叉引用调用图、检测加密常量以及调用 Keystone 汇编。项目自 2019 年起停止开发，仓库没有发布版本。
- [mobdevim iOS 设备命令行工具](https://awesomerea.org/zh/resources/mobdevim/index.md)：工具 · Derek Selander 编写的 macOS 命令行工具，通过 Apple 的私有 MobileDevice 框架检查和控制经 USB 或 Wi-Fi 连接的 iOS 设备。它可列出设备和已安装应用及其 Info.plist 键值与权限（entitlements），实时输出设备控制台日志，获取崩溃日志，查看描述文件和开发者证书，在沙盒允许时把应用的数据容器拷出设备并传回，还能安装、卸载应用，并带参数和环境变量启动应用。挂载开发者磁盘映像（DDI）后，还能列出和结束进程、模拟定位；输出可按 plist 格式打印，便于脚本处理。
- [XPEViewer PE 文件查看与编辑工具](https://awesomerea.org/zh/resources/xpeviewer/index.md)：工具 · horsicq 开发的基于 Qt 的 PE 文件查看与编辑工具，支持 Windows、Linux 和 macOS；作者也是本目录所收录 Detect It Easy 的作者。其 PE 视图可解析 DOS 头、NT 头和可选头、节区、普通导入、延迟加载导入和绑定导入、导出、资源（包括清单、版本信息和字符串表）、重定位、TLS 回调、异常、调试和加载配置数据、证书、Rich 头以及 .NET 元数据表。另有十六进制、反汇编、字符串、熵、哈希、内存映射和提取器视图，并集成 Detect It Easy、Nauz File Detector 和 YARA 扫描，以及可选的 VirusTotal 查询。
- [Fermion Frida 脚本图形化开发环境](https://awesomerea.org/zh/resources/fermion/index.md)：工具 · Ruben Boonen 开发的 Electron 桌面应用，把 frida-node 和 Monaco 编辑器整合到同一个窗口中，用于编写、注入和反复调整 Frida 脚本。编辑器提供代码检查、IntelliSense 和 Frida API 类型定义；设备菜单可连接本地、USB 和远程 Frida 服务端，附加到进程或启动新进程；脚本可用快捷键在目标中重新加载，输出显示在代码旁边。原型阶段的 CALL 追踪器从选定的指针或模块符号开始，跟踪线程发出的每一次调用直至返回，并将结果渲染为 Graphviz SVG 图；应用还内置了 Frida JavaScript API 文档。
- [Ghidrathon Ghidra Python 3 脚本扩展](https://awesomerea.org/zh/resources/ghidrathon/index.md)：工具 · Mandiant FLARE 团队开发的 Ghidra 扩展，借助 Jep 把用户本机的 CPython 3 解释器嵌入 Ghidra，作为 Ghidra 基于 Jython 的 Python 2.7 脚本支持之外的选择。它提供交互式 Python 3 解释器窗口，可在脚本管理器中编写和运行 Python 3 脚本，也可在无界面的 analyzeHeadless 运行中执行 Python 3 后处理脚本；currentProgram() 等 GhidraScript 状态和 FlatProgramAPI 方法以 Python 内置名称的形式提供。由于直接使用所配置的解释器或虚拟环境，脚本可以导入其中已安装的包；README 以 capa、Unicorn 和 angr 为开发动机举例，并演示在 Ghidra 内用 Unicorn 模拟执行 ARM 代码。
- [diStorm3 x86/AMD64 反汇编库](https://awesomerea.org/zh/resources/distorm/index.md)：工具 · 轻量级的 x86/AMD64 C 语言反汇编库，README 称其为“分解器”：除格式化文本外，distorm_decompose 还会为每条指令返回一个二进制结构，描述其操作码、操作数、前缀、控制流类别，并可选地给出受影响的 CPU 标志位。它可解码 16、32 和 64 位代码，可在遇到调用、返回、分支、中断或特权指令时停止，其生成的指令表涵盖整数、x87、MMX、3DNow!、SSE 至 SSE4.2 和 SSE4a、AVX、FMA、AES、CLMUL、VMX 及 SVM 指令集。仓库还包含 distorm3 Python 模块，以及 Java 和 .NET 的示例封装和面向 Linux、Win32 及 Windows 内核驱动的示例程序。
- [ProbeDroid Android 动态插桩工具包](https://awesomerea.org/zh/resources/probedroid/index.md)：工具 · 面向 Android 5.0 的 Java 方法动态插桩工具包，让分析人员在没有应用源码的情况下自行编写跟踪和性能分析工具。启动器通过 ptrace 把原生引擎库和用户构建的插桩 APK 注入新启动的目标应用；插桩工具继承 Instrument API，钩挂系统框架或应用自定义的 Java 方法，查看或修改其参数与返回值。README 的演示使用示例工具，记录经 StringBuilder 和 StringBuffer 构造的字符串，以及应用启动的 Activity 和 Service。
- [Fridump 基于 Frida 的进程内存转储工具](https://awesomerea.org/zh/resources/fridump/index.md)：工具 · 一个小型 Python 命令行工具，通过 Frida 附加到正在运行的进程，把其中可访问的内存区域写入文件；可在 Windows、Linux 或 macOS 主机上运行，面向 iOS、Android 或 Windows 应用。默认只保存可读写的内存区域，-r 会连同只读区域一并保存；超过大小上限（默认 20 MiB，可用 --max-size 调整）的区域会拆分成多块；-s 会对所有转储文件做一遍简单的字符串提取，把可打印文本汇总到 strings.txt。其 README 称该工具主要面向渗透测试人员和开发者。
- [Redress Go 二进制分析工具](https://awesomerea.org/zh/resources/redress/index.md)：工具 · 基于 GoRE 库的命令行工具，可从 Go 编译器生成、已剥离符号的二进制文件中恢复元数据。它能报告编译器版本、构建 ID、GOROOT、main 包路径和 Go 模块信息；列出项目包、标准库包和 vendor 包；把接口、结构体及其方法输出为 Go 类型声明；并按包、文件和函数推测源码树布局，估计各函数的行号范围。通过 r2pipe 在 radare2 中运行时，它会为函数和类型添加标记，并分析 main.init 与 main.main。
- [ghidra-nanomips nanoMIPS 处理器模块](https://awesomerea.org/zh/resources/ghidra-nanomips/index.md)：工具 · 为 Ghidra 增加 nanoMIPS 反汇编和反编译能力的处理器模块，以 SLEIGH 规范描述小端 32 位 nanoMIPS 指令集，包括其多线程指令。NCC Group 的发布文章称，该模块是在逆向分析 MediaTek 5G 基带固件时编写的，实现了该固件中遇到的指令，部分复杂 P-Code 仿真尚未实现，但已能反编译团队分析过的大部分基带代码。
- [SMDA 递归反汇编库](https://awesomerea.org/zh/resources/smda/index.md)：工具 · 基于 Capstone 的 Python 递归反汇编库，借助 x86/x64、AArch64、32 位 ARM/Thumb、CIL 和 Dalvik 后端，从 PE、ELF、Mach-O 文件、.NET 程序集、原始 DEX 文件以及已知基址的内存转储中恢复控制流图。其 JSON 报告列出函数、基本块、指令及其间的边，并补充来自导入表、导出表、PDB、Go、Rust 与 Delphi 元数据的符号、被引用的字符串、用 ApiScout 方法推断的 Windows API 引用以及位置无关代码哈希。函数发现有意以完整性优先于精确性；README 称 SMDA 是 capa 的反汇编后端和 MCRIT 的代码分析层，IDA Pro 或 Binary Ninja 的分析结果也可导出为同一报告格式。
- [frida-trace（NowSecure 声明式跟踪库）](https://awesomerea.org/zh/resources/nowsecure-frida-trace/index.md)：工具 · 供 Frida 代理脚本使用的 JavaScript 库，按声明式描述跟踪原生函数：每个函数都列出返回类型及输入、输出参数，参数类型包括指针、UTF-8 与 UTF-16 字符串，以及长度绑定到其他参数或返回值的字节数组，还可设置条件，例如仅在调用成功时读取输出指针。它从模块导出表或虚函数表解析函数，挂接 Frida 的 Interceptor，并为每次调用向回调传递一个事件。同一仓库中的辅助脚本可借助 libclang 从 C 头文件生成跟踪样板代码。
- [BTD（Bin To DNN）DNN 可执行文件反编译器](https://awesomerea.org/zh/resources/btd-dnn-decompiler/index.md)：工具 · USENIX Security 2023 论文《Decompiling x86 Deep Neural Network Executables》的研究产物。BTD 将 DNN 编译器 TVM、Glow 和 NNFusion 生成的 x86 可执行文件反编译为模型规格：算子类型、网络拓扑、维度以及权重和偏置等参数。它把 IDA 的反汇编结果拆分为函数，用基于汇编词元训练的分类器推断每个算子的类型，用 Intel Pin 记录执行轨迹并经污点分析过滤，借助基于轨迹的符号执行引擎恢复维度和参数，最后在 PyTorch 中重建模型，并将其输出与原可执行文件对比。
- [Boomerang 机器码反编译器](https://awesomerea.org/zh/resources/boomerang-decompiler/index.md)：工具 · SourceForge 上 Boomerang 项目的分支，是一款通用的机器码反编译器，可将可执行文件转换为 C 代码。README 列出的支持范围为 ELF、PE、DOS MZ、DOS/4GW LE 和 Mach-O 文件中的 x86（仅 IA-32）、PowerPC 和 ST20 代码；指令语义由 SSL 规格文件定义，库函数签名文件以及 printf、scanf 类格式字符串可辅助恢复类型。它提供 boomerang-cli 命令行工具和基于 Qt 的 boomerang-gui 图形界面，并附有单元、回归和重编译测试套件。
- [ktool Mach-O 与 Objective-C 分析工具包](https://awesomerea.org/zh/resources/ktool/index.md)：工具 · 纯 Python 编写的 Mach-O 与 Objective-C 静态分析工具包，可作为 ktool 命令行、终端浏览界面（ktool open）或程序库使用，没有需要编译的依赖。其命令可列出加载命令、链接库、符号表、导入与导出符号、Objective-C 类和协议、Swift 类型、函数起始地址以及代码签名权限（entitlements），并可导出重建的 Objective-C 头文件或 .tbd 存根。它还能列出并提取内核缓存中的 kext，拆分和合并 fat 二进制文件，修改安装名并插入加载命令。
- [Brida Burp Suite 与 Frida 桥接扩展](https://awesomerea.org/zh/resources/brida/index.md)：工具 · 由 Federico Dotta 和 Piergiovanni Cipolloni 开发的 Burp Suite 扩展，在 Burp 与 Frida 之间架起桥梁，让分析者直接调用应用自身的函数处理它与后端交换的 HTTP 消息，而不必重新实现其中的加密、编码或签名逻辑。图形化插件引擎把 Frida 导出函数接入 Burp：既可在所有 Burp 工具中处理请求和响应，也可通过自定义消息编辑标签页、右键菜单项和按钮调用；Generate Stubs 工具还能为外部 Burp 扩展生成 Java 或 Python 代码。分析标签页以树形展示应用的 Java 和 Objective-C 类、方法以及导入导出，可从中添加挂钩，记录参数和返回值，或替换返回值；内置编辑器用于编写分析者自己的 Frida 导出函数。
- [Qu1cksc0pe 恶意软件分析工具](https://awesomerea.org/zh/resources/qu1cksc0pe/index.md)：工具 · 一体化恶意软件初筛工具，可对 Windows PE、Linux ELF（含 Go 二进制）、macOS Mach-O 和 Android APK、JAR、DEX 文件，以及 Office 与 PDF 文档、脚本、快捷方式、压缩包、电子邮件和 PCAP 做静态分析，报告导入表与 API 分类、节区、字符串与 IOC、加壳器、内嵌可执行文件、Android 权限风险和 YARA 匹配，并为 Windows 与 Linux 程序给出 MITRE ATT&CK 映射。VBA/VBScript、JavaScript 和 PowerShell 交由有界的内存内模拟器处理，而不会真正执行；--watch 模式可监视 Windows、Linux 和 Android 上运行中的进程。分析功能可通过命令行、Flask 网页界面和 MCP 服务器调用，还可选择用大语言模型总结 JSON 报告。
- [AppMon 基于 Frida 的应用 API 监控框架](https://awesomerea.org/zh/resources/appmon/index.md)：工具 · 基于 Frida 的框架，由 Nishant Das Patnaik 开发，曾在 2016 年 Black Hat Arsenal 展示，用于观察 macOS、iOS 和 Android 原生应用发起的系统 API 调用。其 Sniffer 组件可附加到应用或启动应用，加载内置脚本库中的挂钩脚本（涵盖加密、钥匙串、文件、SQLite、HTTP、IPC 和 WebView 等方面），并把每次截获的调用记录到按应用划分的 SQLite 数据库中，由本地 Flask 网页界面展示。其他组件可追踪 Android 应用中的 Java 类、方法及参数类型，并可把 IPA 或 APK 与 Frida Gadget 一起重新打包，以便在未越狱或未 root 的设备上进行检查。
- [Yagi：IDA 中的 Ghidra 反编译器](https://awesomerea.org/zh/resources/yagi-ghidra-decompiler-for-ida/index.md)：工具 · Airbus CERT 开发的插件，把 Ghidra 的原生反编译器嵌入 IDA Pro 和 IDA Free：在函数上按 F3 即可在 IDA 中查看 Ghidra 生成的 C 代码，在其中所做的修改（包括函数原型等全局符号，以及栈变量和寄存器变量的名称与类型）会保存到 IDA 数据库。README 列出已支持 x86、x86-64、ARM、AArch64、PowerPC、MIPS、SPARC、AVR8、6502、Z80 和 eBPF，而 Dalvik、JVM、RISC-V、68000 等其他 Ghidra 处理器尚未启用。
- [frida-scripts（0xdea）Frida 移动应用与 Linux 追踪脚本集](https://awesomerea.org/zh/resources/raptor-frida-scripts/index.md)：工具 · Marco Ivaldi（raptor）编写的 Frida JavaScript 插桩脚本集，用于逆向移动应用和 Linux 程序。主力 Android 与 iOS 追踪脚本按名称、通配符或正则表达式挂钩 Java 或 Objective-C 的类与方法，并通过 exports:*!open* 等 Frida ApiResolver 模式匹配原生函数，记录每次调用的参数与返回值，并可输出调用栈。配套脚本可枚举已加载的类与方法；另有一对 Linux 脚本用于追踪并枚举 ELF 二进制文件及其共享库中的函数。
- [System Informer 进程与系统检查工具](https://awesomerea.org/zh/resources/system-informer/index.md)：工具 · Windows 进程查看与系统检查工具，前身为 Process Hacker，用于检查运行中的程序及其所在的系统环境。它以高亮方式概览系统活动，可在各进程的句柄和已加载 DLL 中搜索，找出正在占用某个文件的进程，显示活动网络连接和实时磁盘访问，查看支持内核模式、WOW64 和 .NET 的详细调用栈，并能创建、编辑和控制服务。4.0 版新增 Process Monitor，借助内核驱动实时记录进程、线程、映像、注册表、文件、句柄和 silo 事件；插件还提供 .NET 程序集与性能页、窗口浏览器和 Hybrid Analysis 在线查询。
- [CyberChef 数据解码与分析工具](https://awesomerea.org/zh/resources/cyberchef/index.md)：工具 · GCHQ 开发的浏览器端数据处理工具，把多个操作串成“配方”（recipe），对数据进行解码、解密、解压、解析和提取，所有处理都在本地浏览器中完成。所固定版本的操作目录列出 506 个操作，包括 XOR 暴力破解、AES/DES/Blowfish 解密、x86 与 ARM 反汇编、ELF 信息解析、文件类型识别、文件提取、熵与字符串分析、YARA 规则匹配、Protobuf 解码，以及以太网帧和 IPv4、TCP、UDP 报头解析。Magic 操作会尝试自动识别多层嵌套编码；在配方中设置断点后，可逐个操作执行，查看数据在每一步的变化。
- [YARA 文件模式匹配与分类工具](https://awesomerea.org/zh/resources/yara/index.md)：工具 · VirusTotal 推出的模式匹配工具，用规则识别和归类恶意软件样本等文件；每条规则由文本、十六进制和正则表达式字符串加一个布尔条件组成。可通过命令行、libyara C API 或 Python 扩展 yara-python 扫描单个文件、文件夹或运行中的进程。各模块向规则提供解析后的结构信息：pe 和 elf 模块提供 PE 与 ELF 头部的大部分字段，dotnet 模块提供 .NET 元数据，math 模块提供熵等计算，可选的 magic 和 cuckoo 模块则提供 libmagic 文件类型和 Cuckoo 沙箱行为报告数据。
- [Cheat Engine 游戏与应用内存分析调试工具](https://awesomerea.org/zh/resources/cheat-engine/index.md)：工具 · 集内存扫描、调试、反汇编和汇编于一体的工具，用于检查和修改运行中的游戏及其他应用；README 称其为专注于游戏和应用改造（仅供个人使用）的开发环境。项目网站列出的功能包括：快速扫描游戏所用变量的内存扫描器，以及调试器、反汇编器、汇编器、变速（speedhack）、修改器（trainer）制作、Direct3D 操控和系统检查工具；README 中的构建说明还提到 Mono、.NET 和 Java 运行时检查、VEH 调试器接口、在脚本中嵌入 Lua 与 C 代码，以及可选的内核模式驱动。
- [Noriben 基于 Procmon 的恶意软件行为分析脚本](https://awesomerea.org/zh/resources/noriben/index.md)：工具 · 调用 Sysinternals Process Monitor 记录程序运行时行为的 Python 脚本，会滤除常规系统活动，并生成文本报告，列出程序创建的进程及其文件、注册表和网络活动。它可以当作轻量级恶意软件沙箱使用，也能在分析人员手动运行样本时记录事件，例如样本需要特定命令行参数、需要用户交互，或在调试器中单步执行时。新建的文件可用 YARA 规则扫描，其哈希值可在 VirusTotal 上查询。2.1.0 版新增 DLL 加载监控、ASCII 进程树和 JSON 输出；NoribenSandbox.py 可在客户机虚拟机中自动完成分析流程。
- [QEMU 机器与用户态模拟器](https://awesomerea.org/zh/resources/qemu/index.md)：工具 · 机器级与用户态模拟器，借助 TCG 动态翻译，在一种 CPU 架构上运行为另一种架构编译的代码。系统模拟可完整模拟一台机器，例如在 x86_64 PC 上运行 ARMv7 开发板；用户态模拟则通过转换系统调用，直接运行为其他 ABI 编译的 Linux 或 BSD 程序。在分析方面，gdbstub 允许用 GDB 暂停客户机、查看寄存器和内存、设置断点与观察点；TCG 插件能以被动方式插桩，粒度可细到单条指令和每次内存访问（自带示例可统计指令数、跟踪系统调用和记录执行过程）；系统模拟还支持确定性执行，便于录制/回放调试。
- [Hex Fiend macOS 十六进制编辑器](https://awesomerea.org/zh/resources/hex-fiend/index.md)：工具 · 开源的 macOS 十六进制编辑器，无需把文件载入内存即可查看和编辑任意大小的二进制文件。它支持插入与删除字节和快速搜索，数据检查器可按有符号或无符号、大端或小端解读整数和浮点数。通过 File > Compare 可比较两个文件，并考虑插入或删除字节带来的偏移；用 Tcl 编写的二进制模板会在字节旁显示文件结构，自带模板涵盖 COFF、ELF、Mach-O 和 MS-DOS EXE 文件头、6502 反汇编、Commodore 64 PRG 文件，以及压缩包、文件系统、分区表和媒体格式。其十六进制视图和数据视图还以可嵌入框架的形式提供。
- [ScyllaHide 用户态反反调试库](https://awesomerea.org/zh/resources/scyllahide/index.md)：工具 · 面向 32 位和 64 位 Windows 程序的用户态（ring 3）反反调试库，通过挂钩系统函数，让被调试程序察觉不到调试器。其文档逐项说明各个选项：处理 BeingDebugged、NtGlobalFlag 和堆标志等 PEB 调试标志，应对借助 ThreadHideFromDebugger 隐藏的线程，在窗口查询和进程列表中隐藏调试器的窗口与进程，应对以无效句柄调用 NtClose 的检测，以及输入屏蔽、计时检测、硬件断点检测和基于异常的检测；附加选项可注入 DLL、阻止创建线程，并转储以 RunPE 方式启动的进程。它以插件形式集成到 x64dbg、OllyDbg v1/v2、IDA 和 TitanEngine，也可用独立的 InjectorCLI 把钩子库注入到任意调试器下的进程。
- [YARA-X Rust 版 YARA 模式匹配工具](https://awesomerea.org/zh/resources/yara-x/index.md)：工具 · VirusTotal 用 Rust 重写的 YARA，以模式匹配规则识别和归类文件。它的目标是取代 YARA，提供更详细的错误报告、更快的正则表达式与十六进制模式匹配，以及功能更强的命令行。规则沿用 YARA 的语法，即文本、十六进制和正则表达式模式加布尔条件；各模块可解析 PE、ELF、Mach-O、.NET、Android DEX、Chrome CRX 和 Windows LNK 文件。命令行无需任何规则即可把模块的解析结果输出为 JSON 或 YAML，因此也能当作文件结构剖析工具使用。项目提供 Rust、C、Go 和 Python API、规则格式化工具，以及带 Visual Studio Code 扩展的语言服务器。
- [ReClass.NET 进程内存结构重建工具](https://awesomerea.org/zh/resources/reclass-net/index.md)：工具 · 用于重建运行中 x86 或 x64 进程内类与数据结构的内存结构编辑器，是 ReClass 移植到 .NET 平台并大量扩展后的版本。使用者把内存布局成带类型的节点，如整数、浮点数、向量与矩阵、文本、指针、数组、联合体、虚函数表和函数指针，可自动剖析节点、高亮变化的内存、读取 PDB 调试符号中的类型和 RTTI 类名，再根据结果生成 C++ 或 C# 代码。它还提供内存查看器和扫描器、模块与节区转储、可找出哪些代码写入或访问某个地址的调试器，以及能提供其他内存访问方式或游戏专用类信息（例如 Frostbite 游戏）的插件。
- [Keypatch IDA Pro 汇编修补插件](https://awesomerea.org/zh/resources/keypatch/index.md)：工具 · 基于 Keystone 汇编引擎的 IDA Pro 插件：可直接输入汇编指令修补二进制文件，用指令或原始字节填充一段地址范围，并在已加载的二进制文件中搜索汇编指令。它支持 Arm、Arm64、Hexagon、MIPS、PowerPC、SPARC、SystemZ 以及 16/32/64 位 x86，输入时即时显示编码，可用 NOP 填充到下一条指令边界，在 IDA 注释中保留原指令，并可撤销上一次修补。
- [edb-debugger 图形化调试器](https://awesomerea.org/zh/resources/edb-debugger/index.md)：工具 · 基于 Qt 的图形化调试器，受 OllyDbg 启发，支持 AArch32、x86 和 x86-64 程序，目前只正式支持 Linux。界面可停靠反汇编、寄存器、栈和数据视图，并提供内存区域窗口、附加到进程、符号支持、表达式语法，以及类似 IDA Pro 的分析条；默认插件包括 Analyzer、Assembler、BinarySearcher、BreakpointManager、FunctionFinder、HardwareBreakpoints、HeapAnalyzer、OpcodeSearcher、ROPTool 和 SymbolViewer。
- [BinNavi 二进制分析 IDE](https://awesomerea.org/zh/resources/binnavi/index.md)：工具 · Google 开源的二进制分析 IDE，可查看、浏览、编辑和注释反汇编代码的控制流图与调用图。它还能收集并合并执行跟踪，帮助分析团队共同跟踪分析结果。反汇编数据由随附的 IDA Pro 导出插件写入 PostgreSQL 数据库，BinNavi 用该数据库存储反汇编、注释和跟踪记录；README 指出目前还没有面向其他反汇编器的导出工具。
- [flare-emu 二进制分析框架模拟执行库](https://awesomerea.org/zh/resources/flare-emu/index.md)：工具 · Mandiant FLARE 团队的 Python 库，把 IDA Pro、Rizin 或 Radare2 与 Unicorn 模拟器结合起来，让分析人员能以脚本方式模拟执行正在分析的二进制代码，支持 32/64 位 x86、ARM 和 ARM64。它提供的接口可在指定寄存器和栈值下模拟一段指令或一个函数，强制走到目标地址或某函数全部交叉引用所需的分支，遍历函数的所有路径，单独运行一段字节，或从某个地址一直模拟到没有代码可执行为止，并支持指令级和调用级钩子。README 中的常见用法是在每个调用点模拟恶意软件的字符串解密函数，并把解密结果写成注释。
- [IDA Pro 交互式反汇编、反编译与调试工具](https://awesomerea.org/zh/resources/ida-pro/index.md)：工具 · Hex-Rays 推出的商业交互式反汇编器、反编译器与调试器，可将 70 多个处理器家族的已编译代码转为带注释和交叉引用的汇编代码及反编译伪代码。其 15 款反编译器覆盖 32 位与 64 位的 x86、ARM、MIPS、PowerPC 和 RISC-V，以及 ARC、V850、TriCore、Hexagon 和 Android DEX；其中 Dalvik、TriCore 和 Hexagon 反编译器为 IDA 9.5 新增，Dalvik 反编译器可把 DEX 字节码还原为 Java 伪代码。文档列出的加载器支持 PE、ELF、Mach-O（含 Apple dyld 共享缓存和 kernelcache）、DEX、UEFI 固件镜像、WebAssembly 模块，以及 Xbox XBE、N64、SNES ROM 和 PlayStation PSX 可执行文件等游戏机格式；处理器列表也涵盖从 NES、Game Boy 到 PlayStation 3 的 Cell、Xbox 360 的 Xenon 和 PSP 的 Allegrex 等游戏机 CPU。调试器既可本地调试，也可通过远程调试服务器调试 Windows、Linux、macOS 和 Android 目标；分析可用 IDAPython、IDC 和 C++ SDK 编写脚本，借助 idalib 库在无图形界面的环境中运行，或通过 IDA MCP 交由 MCP 客户端驱动。
- [Binary Ninja 交互式反汇编、反编译与二进制分析平台](https://awesomerea.org/zh/resources/binary-ninja/index.md)：工具 · Vector 35 推出的商业交互式反汇编器、反编译器与调试器，其反编译器建立在 BNIL 中间语言家族之上，可为所有官方支持的架构输出 C 或 BNIL。视版本不同，它可反编译 x86/x86-64、ARMv7/Thumb2、AArch64、PowerPC、MIPS、RISC-V、MSP430、6502、nanoMIPS、TriCore、C-SKY、M·CORE、Hexagon、NDS32 和 TMS320C6x，并能加载原始二进制以及 PE/COFF、ELF、Mach-O、TE、Intel HEX、Motorola S-Record、TI-TXT、MD1ROM 和 VxWorks 文件。C++、Python 和 Rust API 可在界面内外自动化分析；开源调试器可在 Windows、Linux 和 macOS 上本地或远程调试，也能连接 GDB、LLDB 和 iOS debugserver 目标；补丁可通过直接修改汇编、十六进制编辑器或内置的 SCC 编译器完成；6.0 版还加入了 MCP 服务器。Ultimate 版另含面向嵌入式固件的 Firmware Ninja，可按熵值识别代码与数据区域并检测对内存映射 I/O 的访问；EFI Resolver 工作流则为 UEFI 的 PEI、DXE 和 SMM 模块中的协议调用补全类型信息。
- [Hopper Disassembler macOS/Linux 反汇编与反编译工具](https://awesomerea.org/zh/resources/hopper-disassembler/index.md)：工具 · Cryptic Apps 推出的商业反汇编器、反编译器与调试器，运行于 macOS 和 Linux，可读取面向 32/64 位 Intel、ARMv6、ARMv7、ARM64 和 PowerPC 处理器构建的 Mach-O（macOS 与 iOS）、PE 和 ELF 可执行文件。每个函数都能以汇编、可导出为 PDF 的交互式控制流图或类 C 伪代码呈现，并能还原 Swift 修饰名、提取 Objective-C 选择器与消息；还可通过十六进制编辑器、内置汇编器或 Python 修改二进制。调试 Mac 应用时可使用 LLDB 或 GDB；Python 脚本可调用大部分功能，SDK 可扩展文件格式解析器和 CPU 后端；Hopper 6 推出了新的反编译器以及供大语言模型客户端使用的 MCP 服务器。
- [WinDbg Windows 调试器](https://awesomerea.org/zh/resources/windbg/index.md)：工具 · 微软的 WinDbg 调试器及 Debugging Tools for Windows 工具包，文档发布于 Microsoft Learn，用于调试运行中的用户态和内核态代码、分析崩溃转储，以及检查 CPU 寄存器和内存。当前的 WinDbg 应用沿用 WinDbg (Classic) 的调试引擎、命令和扩展，并新增时间旅行调试（Time Travel Debugging，可录制用户态进程并向前、向后回放）、JavaScript 与 NatVis 脚本和 Linux ELF 转储分析；自 1.2610.1001.0 版起还提供面向受支持 AI 客户端的 WinDbg MCP。
- [010 Editor 十六进制与文本编辑器](https://awesomerea.org/zh/resources/010-editor/index.md)：工具 · SweetScape Software 推出的商业十六进制与文本编辑器，其 Binary Templates 采用类似 C/C++ 结构体、可含控制流语句和函数的写法，将二进制文件解析为可编辑的层级结构。模板可在打开文件时自动运行，并能通过在线仓库分享；语法类似 C/C++ 的脚本可自动完成编辑和批处理；工具还包括基于 Capstone、支持 x86、ARM、MIPS、PowerPC 等架构的反汇编器、逐字节比较、校验和与哈希计算，以及磁盘和 Windows 进程内存编辑。
- [pestudio 恶意软件初步评估工具](https://awesomerea.org/zh/resources/pestudio/index.md)：工具 · Winitor 推出的 Windows 恶意软件初步评估工具，以静态方式检查 Windows 可执行文件，报告硬编码的 URL 和 IP 地址、被标记的导入函数、资源及附加数据（overlay）等关键指标。免费的基础版还能识别文件签名、调试信息和 TLS 回调，计算熵值与 imphash，显示 rich header 和 .NET 元数据，并凭哈希查询 VirusTotal 评分；pestudio-pro 另提供 MITRE ATT&CK 映射、XML 报告和命令行版本 pestudiox.exe。
- [OllyDbg Windows 32 位调试器](https://awesomerea.org/zh/resources/ollydbg/index.md)：工具 · 面向 Windows 的 32 位汇编级分析型调试器，侧重二进制代码分析，适用于没有源码的程序；其网站称开发已冻结，列出的最新版本是 2013 年 9 月 27 日发布的 2.01。它能识别过程、循环、API 调用、switch 结构、表、常量和字符串，解码对 1900 多个标准 API 和 400 个 C 函数的调用；还可附加到运行中的程序、直接调试 DLL，设置条件、日志、内存和硬件断点，并把补丁写回可执行文件。
- [Tenet IDA Pro 执行跟踪浏览插件](https://awesomerea.org/zh/resources/tenet/index.md)：工具 · 用于浏览二进制程序执行跟踪的 IDA Pro 插件：载入外部录制的跟踪后，分析人员可沿时间轴向前或向后单步，反汇编视图会标出前后两个方向的执行流。执行断点、内存断点和区域断点可在跟踪时间轴上标出某条指令的每次执行，或某个地址、某段内存的每次读写；寄存器回溯可直接跳到设置该寄存器当前值的指令；时间戳命令行可跳转到跟踪中的指定位置或百分比处。
- [findcrypt-yara IDA Pro 密码学常量识别插件](https://awesomerea.org/zh/resources/findcrypt-yara/index.md)：工具 · IDA Pro 插件，用 YARA 规则在已加载的数据库中扫描密码学常量等特征，在结果窗口中列出匹配项，并按规则名为每个匹配地址命名。随附的 findcrypt3.rules 包含 126 条规则，涵盖 MD5、SHA-1、SHA-256、SHA-512、RIPEMD-160、Whirlpool、DES、Blowfish、RC6、TEA 和 CRC32 等哈希、加密与校验算法的常量和查找表，大数与素数常量，加密 API 名称，以及 OpenSSL、Crypto++、MIRACL 和 FGint 等库中的函数；用户还可添加自己的 .rules 文件。
- [deREferencing IDA Pro 寄存器与栈视图插件](https://awesomerea.org/zh/resources/dereferencing/index.md)：工具 · 为 IDA Pro 调试器新增寄存器视图和栈视图的插件，视图中会显示解引用后的指针并加以着色，效果类似 PEDA、GEF、pwndbg 等 GDB 插件的上下文显示。它支持 x86、x86-64、ARM、ARM64、MIPS32 和 MIPS64；两个视图可从 Debugger > Debugger Windows 菜单或用 Alt-Shift-D、Alt-Shift-E 快捷键打开，保存桌面布局后，之后的调试会话会自动重新打开它们。
- [HexRays Toolbox 反编译代码模式查询脚本](https://awesomerea.org/zh/resources/hexrays-toolbox/index.md)：工具 · 一组 IDAPython 脚本，通过对反编译得到的 ctree 运行用户编写的 lambda 查询，在 Hex-Rays 反编译输出中查找代码模式，与二进制文件的处理器架构无关。查询可在 IDA 内的 hxtb-shell 图形界面中运行，也可在 IDAPython 中通过 find_expr()、find_item() 等函数调用，或借助交互式命令行辅助函数运行，还能以批处理方式对一组文件执行。README 列出的用途包括查找漏洞及其变种、在新反编译的代码中定位此前逆向过的程序里的代码模式、恶意软件变种分析，以及在为不同架构编译的二进制文件之间查找相同模式。
- [Virtuailor IDA Pro C++ 虚表重建工具](https://awesomerea.org/zh/resources/virtuailor/index.md)：工具 · 在 IDA Pro 中重建 C++ 虚函数表的 IDAPython 工具，适用于 32/64 位 Intel 和 AArch64 代码，通过在 IDA 调试器中运行程序并观察间接调用来完成。静态部分负责找出间接调用，并用条件断点挂钩其调用目标的赋值；断点命中后，动态部分会创建虚表结构体、重命名虚表和虚函数、为调用指令加上结构体偏移，并从每个间接调用添加指向其实际调用的虚函数的交叉引用；对 AArch64 固件，它还会尝试修复未定义的虚表及相关函数。
- [xAnalyzer x64dbg 代码分析插件](https://awesomerea.org/zh/resources/xanalyzer/index.md)：工具 · x64dbg 插件，为被调试的 x86 或 x64 可执行文件的静态代码添加函数调用、参数和循环分析注释。它依据覆盖近 200 个 DLL、超过 13,000 个 API 的定义补充参数和类型信息，对未定义的调用和基于寄存器的调用做通用处理，并自动识别循环。分析可通过菜单或 xanal 命令作用于选中范围、单个函数或整个模块，也可像 OllyDbg 的初始分析那样在到达入口点时自动执行；用户还可以自行扩充其 .api 定义文件和头文件。
- [Voltron 调试器界面扩展工具包](https://awesomerea.org/zh/resources/voltron/index.md)：工具 · 可扩展的 Python 调试器界面工具包，能为 LLDB、GDB、VDB 和 WinDbg/CDB 会话附加实用视图。每个视图从调试器宿主获取数据，并可在单独的终端中运行，使用者可借此组合出自己的调试界面；内置视图涵盖寄存器、反汇编、栈、内存、断点和调用栈回溯，任意调试器命令都能拆分成独立视图，并用指定的 Pygments 词法分析器高亮显示。这些视图在调试器命令行旁提供辅助界面。
- [Remill 机器码到 LLVM bitcode 提升库](https://awesomerea.org/zh/resources/remill/index.md)：工具 · 静态二进制翻译库，可把 AArch64、SPARC32、SPARC64、x86 和 amd64 机器码（包括 AVX 与 AVX512 指令）提升为 LLVM bitcode，AArch32 支持正在开发中。它专注于准确提升单条指令，定位是供 McSema 等其他工具调用的库；文档逐步介绍了一条指令如何被提升、如何实现指令语义以及整体设计。
- [iaito radare2 官方图形界面](https://awesomerea.org/zh/resources/iaito/index.md)：工具 · radare2 逆向工程框架的官方图形界面，基于 Qt 构建，力求在命令、功能和快捷键上与 radare2 保持一致，现有的 r2 插件和脚本都能继续使用。README 列出的功能除反汇编外，还包括取证分析、二进制对比和二进制修补；iaito 是该项目被分叉为 Cutter 之前的原名。
- [HexRaysCodeXplorer C++ 代码重建插件](https://awesomerea.org/zh/resources/hexrays-codexplorer/index.md)：工具 · 用于在 IDA 伪代码窗口中浏览和重建 C++ 代码的 Hex-Rays 反编译器插件。它能根据选中的指针变量重建 C++ 对象类型并存入 IDA 本地类型，识别虚函数表并为其生成结构体，在对象类型确定后可直接点击跳转到虚函数调用，以图形方式展示函数的 ctree，从伪代码行跳转到对应的反汇编，并把 ctree 和类型导出到文件。其 Object Explorer 可列出虚表及其交叉引用并解析 RTTI，批处理模式可在无人干预的情况下处理大量文件。
- [GDB dashboard 调试状态界面](https://awesomerea.org/zh/resources/gdb-dashboard/index.md)：工具 · 用 GDB Python API 编写的独立 .gdbinit 文件，被调试程序每次停下时显示模块化的状态界面，减少查看程序状态所需的命令。它不重定义任何 GDB 命令，所有功能都集中在 dashboard 命令之下。
- [REHex 逆向工程十六进制编辑器](https://awesomerea.org/zh/resources/rehex/index.md)：工具 · 面向逆向工程的跨平台十六进制编辑器，可处理超过 1 TB 的文件。它提供内联反汇编、整数与浮点数解码、字节范围标注、并排比较、虚拟地址映射和位图可视化，还支持自动标注数据的 Binary Templates 和 Lua 脚本。
- [Dobby 跨平台钩子框架](https://awesomerea.org/zh/resources/dobby/index.md)：工具 · 轻量的模块化钩子框架，支持 Windows、macOS、iOS、Android 和 Linux，覆盖 x86、x86-64、ARM 和 ARM64 架构。
- [XLMMacroDeobfuscator Excel 4.0 宏解码工具](https://awesomerea.org/zh/resources/xlmmacrodeobfuscator/index.md)：工具 · 用于从 xls、xlsm 和 xlsb 文件中提取并解码混淆 Excel 4.0（XLM）宏的命令行工具和 Python 库。内置的 XLM 模拟器解释宏，但不完整执行其代码，结果可导出为 JSON。
- [PE Tree 可执行文件树状查看器](https://awesomerea.org/zh/resources/pe-tree/index.md)：工具 · 基于 pefile 和 PyQt5、以树状视图展示 PE 文件的 Python 模块，既可作为独立应用，也可作为 IDA Pro、Ghidra、Volatility、Rekall 和 minidump 的插件使用。它能从文件、ZIP 压缩包、Windows 内存转储和分析数据库中读取 PE 映像。
- [RpcView Windows RPC 查看与反编译工具](https://awesomerea.org/zh/resources/rpcview/index.md)：工具 · 开源 Windows 工具，用于查看并反编译 Microsoft 系统上存在的 RPC 功能。若要支持新的 rpcrt4.dll 运行时版本，可扩充其版本表，或逆向该运行时的内部结构。
- [amoco 二进制符号分析软件包](https://awesomerea.org/zh/resources/amoco/index.md)：工具 · 用于二进制符号分析的 Python 软件包。它包含便于添加新架构的指令解码框架、描述指令语义的符号代数模块、抽象内存与执行模型，以及从线性扫描、递归遍历到基于求解器的路径谓词探索等反汇编技术。
- [Chisel iOS LLDB 调试命令集](https://awesomerea.org/zh/resources/chisel-lldb/index.md)：工具 · 用于调试 iOS 应用的 LLDB 命令集。这些命令可打印视图和视图控制器层级，按类名正则查找视图，无需继续运行进程即可显示或隐藏视图，可遮罩视图或为其加边框，还能为类方法设置符号断点、为实例变量设置观察点，并支持自定义命令。
- [gdbgui gdb 浏览器前端](https://awesomerea.org/zh/resources/gdbgui/index.md)：工具 · GNU 调试器 gdb 的浏览器前端。
- [Porosity 以太坊字节码反编译器](https://awesomerea.org/zh/resources/porosity/index.md)：工具 · 把以太坊虚拟机字节码反编译为可读的 Solidity 语法合约的工具，支持 Linux 和 macOS。
- [Xori 反汇编与静态分析库](https://awesomerea.org/zh/resources/xori/index.md)：工具 · 面向自动化的反汇编与静态分析库，处理 shellcode 和 PE 二进制文件，并以 JSON 输出反汇编、函数和导入表。它提供枚举所有路径的轻量模拟模式和较慢的完整模拟模式，以及模拟的 TEB、PEB 结构和 FLIRT 风格签名。
- [binglide 文件数据类型可视化工具](https://awesomerea.org/zh/resources/binglide/index.md)：工具 · 可视化逆向工具，用于快速了解文件中存在的数据类型。它不依赖任何特定文件格式，因此在文件头缺失或损坏、格式未知时也能使用。
- [ERESI 逆向工程软件接口](https://awesomerea.org/zh/resources/eresi/index.md)：工具 · 逆向工程软件接口，核心是 ELFsh 和 e2dbg：前者是可交互、可脚本化的 ELF 对象读取与修改 shell，后者是嵌入式 ELF 调试器。ELFsh 可分析节，编辑文件头、符号表和重定位表，通过 libasm 反汇编，绘制控制流图，并向 ELF 文件注入代码。
- [pixd 二进制数据彩色可视化工具](https://awesomerea.org/zh/resources/pixd/index.md)：工具 · 终端工具，以类似十六进制转储的方式可视化二进制数据，但把每个字节画成调色板中的彩色方块。
- [Universal Extractor 2 通用文件解包工具](https://awesomerea.org/zh/resources/universal-extractor-2/index.md)：工具 · Universal Extractor 的非官方扩展延续版本，可从标准压缩包、应用安装程序、磁盘映像和游戏归档中解包文件。第 2 版增加了批处理模式、只检测文件类型的扫描模式、密码列表和静默模式。
- [ElleKit arm64 函数钩子工具包](https://awesomerea.org/zh/resources/ellekit/index.md)：工具 · 面向 arm64 XNU 设备的函数钩子工具包：包括直接修补内存页的 C 函数钩子、Objective-C 函数钩子、arm64 汇编器、Swift JIT 内联汇编，以及 Substrate 和 libhooker API 的重新实现。README 列出 Dopamine、palera1n 和 meowbrek2 越狱工具为其使用者。
- [ProcDump Linux 与 macOS 版进程转储工具](https://awesomerea.org/zh/resources/procdump-linux/index.md)：工具 · Sysinternals ProcDump 工具在 Linux 和 macOS 上的重新实现，可按性能、运行时、信号和资源跟踪触发条件写出进程转储，包括通过 Rust ELF 写入器生成的原生转储，以及通过 .NET 诊断 IPC 生成的托管转储。
- [fishhook Mach-O 符号重绑定库](https://awesomerea.org/zh/resources/fishhook/index.md)：工具 · 小型库，可动态重新绑定运行在 iOS（真机和模拟器）上的 Mach-O 二进制文件中的符号，方法是更新 dyld 使用的惰性和非惰性符号指针。
- [pcode2code VBA p-code 反编译器](https://awesomerea.org/zh/resources/pcode2code/index.md)：工具 · 基于 pcodedmp 的 VBA p-code 反编译器，用于处理宏源代码已被抹除、只留下字节码的 Office 文档。它接受文档或先前保存的 pcodedmp 转储，也可作为 Python 模块使用。
- [rust-deobf Rust 二进制去混淆工具](https://awesomerea.org/zh/resources/rust-deobf/index.md)：工具 · rust-deobf 分析以 Rust 为主的 ELF、PE 和 Mach-O 二进制文件，恢复隐藏字符串及相关信息。工具结合静态调用点分析与 Unicorn 函数仿真，还可识别 Rust 元数据和库函数、处理打包样本并为 Ghidra 添加注释。核心功能提供命令行和 MCP 接口；更深入的控制流及虚拟化模块另有许可。
- [CFG Visualizer 三维控制流图查看工具](https://awesomerea.org/zh/resources/cfg-visualizer/index.md)：工具 · CFG Visualizer 借助 radare2 从 ELF、PE 和 Mach-O 文件提取函数控制流图，在浏览器中交互式显示三维节点、分支边及反汇编。FastAPI 后端负责分析并输出图结构 JSON。
- [Cpp2CS IL2CPP 托管代码恢复工具](https://awesomerea.org/zh/resources/cpp2cs/index.md)：工具 · Cpp2CS 从 Android ARM64 Unity IL2CPP ELF 二进制文件和匹配元数据中恢复托管方法，输出 CIL 程序集、C# 源码及逐方法诊断。其流程建模机器 IR、运行时惯用法、内存 SSA 和类型，并标记未恢复部分。
- [ghidra-c6000 TI C6000 DSP 分析扩展](https://awesomerea.org/zh/resources/ghidra-c6000/index.md)：工具 · ghidra-c6000 为 Ghidra 12.x 增加德州仪器 C64x、C67x 和 C674x DSP 支持。其 SLEIGH 语言解码完整及紧凑指令，提供反编译所需的 p-code，并为 ELF 或原始镜像加入 C6000 调用约定和指令包分析器。
- [cocos2d-dumper ELF 函数符号提取工具](https://awesomerea.org/zh/resources/cocos2d-dumper/index.md)：工具 · cocos2d-dumper 使用 GNU binutils 从 ELF 共享库提取已定义的函数符号，并对 C++ 名称进行反修饰。它生成 ELF 符号表值与名称的对应表，可用于检查未剥离符号的 cocos2d-x 二进制文件及其他原生库。
- [Binary Ninja Security Analysis Plugin 二进制分析插件](https://awesomerea.org/zh/resources/binary-ninja-security-analysis-plugin/index.md)：工具 · Binary Ninja Security Analysis Plugin 是用 Rust 编写的批量二进制分析插件，输出 Parquet 报告。报告包含架构、哈希、函数、字符串、段、圈复杂度、熵，以及指向指定进程执行函数的交叉引用。
- [Human-Readable Decompilation 反编译 C 代码整理工具](https://awesomerea.org/zh/resources/human-readable-decompilation/index.md)：工具 · Human-Readable Decompilation 使用 ANTLR 解析 Ghidra 从二进制文件反编译得到的 C 代码，并进行 AST 转换。功能包括从条件链恢复 switch、引入卫语句、压平嵌套分支及简化部分表达式；图形界面可先启动 Ghidra 无头分析，命令行也能处理已有 C 文件。
- [BinStruct Inspector 二进制结构分析器](https://awesomerea.org/zh/resources/binstruct-inspector/index.md)：工具 · BinStruct Inspector 是通过自定义字段树检查二进制文件布局的图形工具。编辑结构时可实时解析文件，并同步显示字段值、十六进制和 JSON 视图；差异监控记录字节级增删替换，插件可扩展数据类型。
- [SimpleParserPE PE32 文件解析器](https://awesomerea.org/zh/resources/simpleparserpe/index.md)：工具 · SimpleParserPE 是检查 PE32 Windows 可执行文件的 C++ 命令行工具。它读取 DOS、NT 文件头、节信息、数据目录和 DLL 导入函数，并通过节表换算 RVA；实现不依赖 Windows 头文件或外部库。
- [tenet_tracer Tenet 指令轨迹采集器](https://awesomerea.org/zh/resources/tenet-tracer/index.md)：工具 · tenet_tracer 使用 Intel Pin 采集指令级执行轨迹，供 Tenet 查看。它记录程序计数器、寄存器变化和内存访问，将轨迹存入 SQLite 表，并提供导出文本的脚本。
- [BinScan 批量二进制文件结构分析工具](https://awesomerea.org/zh/resources/binscan/index.md)：工具 · BinScan 批量扫描文件，为每个文件输出含格式识别、结构信息、哈希和熵值的 JSON。其 C++ 库包含 PE、ELF、Mach-O 可执行文件及压缩包、安装包、文档和图像的解析器，按读取、分析、写入三个阶段处理。
- [Patch-0xC0000022 SysMain 运行时研究工具](https://awesomerea.org/zh/resources/patch-0xc0000022/index.md)：工具 · Patch-0xC0000022 修改运行中的 Windows SysMain 服务，使 NtCreateFile 返回 STATUS_ACCESS_DENIED。该 C++ 程序定位服务进程和远程函数地址，再应用六字节补丁，以研究预取行为的变化。
- [iMonitor Windows 系统行为分析工具](https://awesomerea.org/zh/resources/imonitor-system-activity-monitor/index.md)：工具 · iMonitor 是用于观察 Windows 运行中软件的系统行为工具，可记录进程、文件、注册表和网络事件，分析 DLL 加载，并通过插件和脚本扩展列及匹配规则。
- [m68kdasm Motorola 68000 反汇编库](https://awesomerea.org/zh/resources/m68kdasm/index.md)：工具 · m68kdasm 用 Go 反汇编 Motorola 68000 系列机器码，同时输出汇编文本和结构化指令信息。它支持选择 CPU 型号、按需解码 FPU 与 PMMU 指令、符号和标签格式化、流式输入，以及 68000 ELF 文件辅助功能。
- [IR Lifting Benchmark 二进制中间表示提升基准工具](https://awesomerea.org/zh/resources/ir-lifting-benchmark/index.md)：工具 · IR Lifting Benchmark 比较 Ghidra P-code、angr VEX、BAP BIL 及可选 LLVM IR 的二进制提升流程。Shell 与 Python 脚本分析样本、收集性能和控制流指标、检查提升后的语义，并生成报告与图表。
- [Bin-Hunter 二进制静态检查工具](https://awesomerea.org/zh/resources/bin-hunter/index.md)：工具 · Bin-Hunter 是用于二进制文件初步静态检查的 Python 命令行工具。它通过魔数字节识别格式，计算整体及高熵区域的 Shannon 熵，提取可读字符串，并查找其中的 URL、IP 地址、邮箱和可疑关键词。
- [BinaryInsight 二进制检查工具](https://awesomerea.org/zh/resources/binaryinsight/index.md)：工具 · BinaryInsight 以交互式终端界面或文本报告检查 ELF、PE、Mach-O 可执行文件和库。其 Rust 核心使用 goblin 解析文件结构，展示节、符号、可打印字符串，以及 PIE、NX、RELRO、ASLR 和 DEP 等安全缓解标志。
- [rust-sig-gen Rust crate 的 IDA 签名生成器](https://awesomerea.org/zh/resources/rust-sig-gen/index.md)：工具 · rust-sig-gen 为可执行文件分析生成 Rust crate 的 IDA FLAIR 库签名。其 Python 脚本获取排名前 100 的 crate，编译 Linux 与 x86-64 Windows 版本，再使用 sigmake、pelf 和 pcf 处理编译产物。
- [1C 7.7 Configuration Parser 1C 配置文件解析器](https://awesomerea.org/zh/resources/1cmdparser/index.md)：工具 · 1C 7.7 Configuration Parser 检查 1C:Enterprise 7.7 的 1cv7.md 配置容器。其 Win32 界面展示 OLE 流，解压 ZLib 数据、去除文档所述的 XOR 加密层，并将 Main MetaData Stream 解析为对象层级。
- [x64dbg-tenet Tenet 格式轨迹录制插件](https://awesomerea.org/zh/resources/x64dbg-tenet/index.md)：工具 · x64dbg-tenet 是将执行步骤录制为 Tenet 轨迹格式的原生 x64dbg 插件。命令可启动和停止记录，也可追踪指定步数，或在执行离开当前模块时停止。
- [NullSec BinGaze ELF 结构与防护属性分析工具](https://awesomerea.org/zh/resources/nullsec-bingaze/index.md)：工具 · NullSec BinGaze 通过解析 ELF 头、列出节区和计算熵来分析可执行文件。命令行提供完整分析、节区列表和安全属性检查，可报告 NX 栈、PIE、RELRO、栈保护及 RWX 段。
- [pdbinspector Microsoft PDB 信息检查工具](https://awesomerea.org/zh/resources/pdbinspector/index.md)：工具 · pdbinspector 分析 Microsoft PDB 文件，列出结构体、类、枚举、函数、公共符号和导出项。它可还原 MSVC C++ 符号名、解码 MSVC 字符串字面量，并通过命令行输出文本、JSON 或制表符分隔报告；另有 WebAssembly 在线版本。