Tieni Ghidra, radare2 o IDA. Incolla l'output del decompilatore e il modello lo spiega e scrive lo script, senza rifiutare. Triage statico per iniziare.
Il reverse engineering è leggere. Hai già Ghidra, radare2 o IDA aperto, e la parte lenta è capire un dump del decompilatore, nominare i locali e scrivere lo script che rinomina i prossimi duecento. Un modello aiuta lì, ma solo se accetta la domanda senza ramanzina e legge ciò che incolli. NotHoly fa entrambe. Tieni i tuoi strumenti, e il modello spiega l'output e scrive gli script. Il caso d'uso di reverse engineering ha il flusso più lungo; qui si parla del perché si adatta.
L'output del decompilatore e del disassembler è l'input. Incolla una funzione da Ghidra, un blocco da radare2 o un listato da IDA, e il modello spiega cosa fa, nomina la struttura che vede e segna le parti che sembrano un controllo di limite, una routine di decode o un parser. Chiedi uno script e ne scrive uno per il tuo strumento: un passaggio in Ghidra Python che rinomina per pattern, una sequenza di comandi radare2, un frammento di IDAPython, un hook di Frida per loggare una chiamata. Lo script gira sulla tua macchina, contro il tuo campione, mai il nostro. Visto che il modello non rifiuta il compito, una routine di unpacking, un loop offuscato, un trucco anti-debug o un controllo di licenza si legge come qualsiasi altro codice, finché il lavoro è nel tuo scope.
r2 -q -c "pdf @ sym.main" ./bin | notholy "explain this function and write a radare2 script to rename the locals"Allega un binario nella chat, o esegui notholy analyze, e gli strumenti statici danno un primo passaggio senza aprire il decompilatore. Per un ELF o PE ricevi lo SHA-256, la dimensione, l'entropia, il formato, l'entry point, le sezioni e gli import. Per un campione ricevi anche le stringhe e un'anteprima di disassembly dall'inizio del file. Un APK dà il manifest e il testo di ogni voce, e un archivio dà il suo albero. Ogni file è analizzato in un sandbox usa e getta senza rete e con radice in sola lettura, nulla in esso viene eseguito, e un pickle di Python è disassemblato con pickletools, mai caricato. Entropia alta e una tabella di import corta bastano a decidere se un campione vale l'ora in Ghidra. Il riferimento dei file elenca i tipi e i limiti.
La base di conoscenza è parte del modello, quindi una domanda su un packer, un formato di file o una convenzione di chiamata porta tecnica curata con una fonte e licenza su ogni passaggio. Una stringa di versione che recuperi va dritta a un lookup CVE che restituisce CVSS, EPSS e stato KEV con date. Sia la base di conoscenza sia i dati CVE si leggono dalla CLI e dall'API, così un lotto di campioni si può fare triage da uno script, e lo stesso modello che ha spiegato la funzione abbozza il report che la accompagna. Lo stesso modello che ha abbozzato il report trasforma un formato recuperato in un parser, così passi dai byte a uno script funzionante senza cambiare strumento.
La piattaforma non decompila. Non c'è decompilatore né grafo di flusso di controllo dalla nostra parte, e l'anteprima di disassembly integrata si ferma all'inizio del file e a un conteggio corto di istruzioni, quindi il listato vero viene dal tuo Ghidra o IDA. Nulla viene eseguito e non c'è analisi dinamica, né debugger né emulazione, quindi il comportamento di un campione impacchettato a run time è tuo da osservare nel tuo laboratorio. Le immagini danno solo le dimensioni, senza OCR per ora. E il modello può leggere male un offset, inventare un'API o spiegare male una funzione, quindi tratta la spiegazione come una traccia e confrontala con i byte.
Tieni il tuo decompilatore e lascia che il modello legga il suo output. Metti un saldo piccolo su prezzi, incolla una funzione e chiedi lo script.
Reverse engineering
Che cosa scarta la compilazione, in che cosa i disassembler differiscono dai decompilatori e quali limiti legali conoscere prima di analizzare un binario.
Reverse engineering
Compila in due modi un piccolo controllo di licenza in C, poi usa Ghidra per trovarne la stringa, seguire i riferimenti e confrontare il decompilatore con il tuo sorgente.