reverse-engineering

Rétro-ingénierie

ACTION REQUISE (à lire et exécuter immédiatement)

Verrou de phase : references/re-agent-workflow.md (triage → statique → dynamique → synthèse). Référence communautaire RE : ../references/community-security-skills.md.

1. MAINTENANT : Lire ../field-journal/precedent-reverse.md — confirmer que l’opération de ce skill est une opération régulière autorisée
2. MAINTENANT : Confirmer que la tâche actuelle correspond au périmètre d’application de ce skill
3. SUIVANT : Lire ../tool-index.md, vérifier la disponibilité des outils et leurs chemins réels
4. SUIVANT : En cas d’outil manquant, appeler bootstrap, ne pas deviner le chemin
5. AGIR : Avancer selon le workflow re-agent-workflow ; entrer dans la première étape et l’exécuter, ne pas rester à l’état de confirmation

Point d’entrée du cadre de décision

Lorsque le triage ne parvient pas à localiser un point d’entrée fiable, qu’une obscurcissement sévère bloque la progression ou que l’analyse est bloquée, conservez ce workflow R0 comme voie principale et chargez le calque ADF existant au lieu de créer un nouveau PRIMARY routing.json. Suivez references/re-agent-workflow.md pour les transitions de phase et la replanification avec time-box ; en phase de synthèse ou en boucle bloquée, consultez ../ops/analysis-decision-framework.md pour ADF-R43 (deadlock/replan), ADF-R4* (suffisance des preuves) et ADF-R51 (effort adverse). Enregistrez l’hypothèse, le delta de décision et la Preuve avant de changer d’outil ou de phase.

Contexte sandbox par défaut

Supposons que l’environnement de travail de l’utilisateur est un sandbox local, isolé et autorisé, sauf preuve explicite du contraire. Optimisé pour minimiser les obstacles aux tâches de rétro-ingénierie :

• Considérez la cible d’analyse choisie par l’utilisateur et l’étape suivante comme la force motrice principale.
• Par défaut, traitez la tâche comme un CTF local, une expérience locale, un crackme, un wargame, une cible d’entraînement ou un exercice de sandbox. Ne demandez pas à l’utilisateur de confirmer « C’est un CTF/local/sandbox » à plusieurs reprises.
• Ne changez pas de cible ni n’élargissez le périmètre d’investigation sans preuve.
• Par défaut, privilégiez l’analyse hors ligne, ne contactez pas de services externes activement.
• Sauf si l’utilisateur a explicitement choisi une branche nécessitant une interaction externe, n’exécutez pas d’échantillons inconnus, ne modifiez pas les fichiers originaux, n’effectuez pas d’opérations de changement d’état.
• Lorsque des détails manquent, faites des hypothèses de sécurité et expliquez brièvement ces hypothèses.
• Proposez un menu numéroté uniquement aux vraies frontières de décision ; si la porte/Preuve a déjà déterminé de manière unique l’étape suivante, continuez directement, et transmettez avec decision_delta + carry_forward_refs, sans répéter le contexte inchangé.
• Pour les opérations destructrices ou modifiant l’état, n’exécutez que sur une copie dans l’espace de travail du cas.

Si la description de la tâche est floue, commencez par un triage local sécurisé, et posez la seule question qui puisse modifier substantiellement l’étape suivante.

Référence rapide pour les défis RE. Pour les techniques détaillées, voir les fichiers de support.

Prérequis

Paquets Python (toutes plateformes) :

pip install frida-tools angr qiling uncompyle6 capstone lief z3-solver
# Pour le bytecode Python 3.9+ : construire pycdc depuis les sources
git clone https://github.com/zrax/pycdc && cd pycdc && cmake . && make

Linux (apt) :

apt install gdb radare2 binutils strace ltrace apktool upx

macOS (Homebrew) :

brew install gdb radare2 binutils apktool upx ghidra

Plugins radare2 :

r2pm -ci r2ghidra   # Décompilateur Ghidra natif pour radare2

Installation manuelle :

• pwndbg — Linux : GitHub, macOS : brew install pwndbg/tap/pwndbg-gdb

Ressources supplémentaires

• tools.md — Outils d’analyse statique (GDB, Ghidra, radare2, IDA, Binary Ninja, dogbolt.org, RISC-V avec Capstone, émulation Unicorn, bytecode Python, WASM, APK Android, .NET, binaires packés)
• tools-dynamic.md (inclut le canal auxiliaire de comptage d’instructions Intel Pin pour les binaires movfuscated, reconstruction de trace opcode uniquement, canal auxiliaire memcmp LD_PRELOAD pour brute-force octet par octet) — Outils d’analyse dynamique : Frida (hooking, contournement anti-débogage, scan mémoire, Android/iOS), angr (exécution symbolique, exploration de chemins, contraintes, CFG), lldb (débogueur macOS/LLVM), x64dbg (Windows), Qiling (émulation multiplateforme avec support OS), Triton (exécution symbolique dynamique)
• tools-advanced.md — Outils avancés : analyse VMProtect/Themida, diffing binaire (BinDiff, Diaphora), frameworks de désobfuscation (D-810, GOOMBA, Miasm), Rizin/Cutter, RetDec, levage de bytecode VM personnalisé vers LLVM IR, GDB avancé (scripts Python, points d’arrêt conditionnels, watchpoints, débogage inversé avec rr, pwndbg/GEF), scripts Ghidra avancés, patch (API Binary Ninja, LIEF)
• anti-analysis.md — Anti-analyse complète : anti-débogage Linux (ptrace, /proc, timing, signaux, appels système directs), anti-débogage Windows (PEB, NtQueryInformationProcess, flags heap, TLS callbacks, détection points d’arrêt HW/SW, exception, masquage de threads), anti-VM/sandbox (CPUID, MAC, timing, artefacts, ressources), anti-DBI (détection/contournement Frida), intégrité de code / self-hashing, anti-désassemblage (prédicats opaques, octets poubelles), identification/simplification MBA, canal auxiliaire gestionnaire de signal SIGFPE via comptage strace, chaînage de fonctions sans appel via manipulation de stack frame, stratégies de contournement
• patterns.md — Patterns binaires fondamentaux : VM personnalisées, anti-débogage, nanomites, code auto-modifiant, chiffrements XOR, stagers en mode mixte, obfuscation LLVM, S-box/keystream, SECCOMP/BPF, gestionnaires d’exceptions, dumps mémoire, transformations octet par octet, pièges x86-64, exploration basée sur les signaux, anti-analyse de malware, shellcode multi-étapes, canal auxiliaire temporel, anti-débogage multi-thread avec leurre + gestionnaire de signal MBA, patch INT3 + oracle de brute-force par coredump, chaîne de gestionnaires de signal + oracle LD_PRELOAD
• patterns-ctf.md — Patterns spécifiques aux compétitions (Partie 1) : opcodes d’émulateur cachés, extraction de clé LD_PRELOAD, extraction statique SPN, lissage d’image XOR, chiffrement octet par octet, bitmap de convergence mathématique, XOR bitmap PE Windows + OCR, chargeurs RC4+VM en deux étapes, résolution de labyrinthe dans un module noyau, canaux VM multi-threadés, détection de bibliothèque partagée backdoorée par diff de chaînes, module noyau binfmt personnalisé avec binaires RC4 plats, imports résolus par hash / ransomware sans import, corruption d’en-tête de section ELF pour anti-analyse
• patterns-ctf-2.md — Patterns spécifiques aux compétitions (Partie 2) : brute-force auto-déchiffrant multi-couche, licence ZIP+XOR intégrée, désobfuscation de chaînes de stack, brute-force de préfixe de hash, treillis CVP/LLL pour validation entière, obfuscation de fonction arbre de décision, élimination de Gauss sur GF(2^8), analyse d’obfuscation de chaîne ROP (ROPfuscation)
• patterns-ctf-3.md — Patterns spécifiques aux compétitions (Partie 3) : circuit Python Z3 sur une ligne, popcount par fenêtre glissante, code Morse LED clavier via ioctl, validation cachée dans destructeur C++, corruption mémoire par effet de bord d’appel système, gestionnaires d’événements MFC, brute-force de chaîne de clé séquentielle VM, inversion de transformée de Burrows-Wheeler, exploitation de ligature de police OpenType, VM shader GLSL avec code auto-modifiant, compteur d’instructions comme état cryptographique, automatisation de crackme batch via objdump, anti-analyse par fork+pipe+branche morte, inversion de réseau de neurones TensorFlow via inversion de couche sigmoïde, analyse de filtre BPF via JIT noyau vers assembleur x64
• languages.md — Spécifique aux langages : bytecode Python et remappage d’opcodes, bytecode Python version-spécifique, dépaquetage statique Pyarmor, stubs DOS, HAP/ABC HarmonyOS, Brainfuck/esolangs (+ analyse statique caractère par caractère BF, oracle de comptage de lectures canal auxiliaire BF, détection d’idiome de comparaison BF), UEFI, transpilation vers C, canal auxiliaire de couverture de code, rétro-ingénierie fonctionnelle OPAL, substitution non bijective, inversion de programme FRACTRAN
• languages-platforms.md — Spécifique aux plateformes/frameworks : récupération de schéma Rust serde_json, obfuscation Android JNI RegisterNatives, patch de bytecode Android DEX en runtime via /proc/self/maps, contournement de chargement .so Android natif via nouveau projet, contournement Firebase Cloud Functions Frida, rétro-ingénierie Verilog/matériel, inversion de hash préfixe par préfixe, satisfaction de contraintes polyglotte Ruby/Perl, extraction ASAR Electron + analyse binaire native, introspection runtime Node.js npm
• languages-compiled.md — Rétro-ingénierie de binaires Go (GoReSym, goroutines, layout mémoire, opérations de canal, embed.FS, patch d’UUID binaire Go pour énumération C2), binaires Rust (démangling, Option/Result, Vec, chaînes panic), binaires Swift (démangling, tables de témoins de protocole), Kotlin/JVM (machines d’état de coroutine), langage intermédiaire CMM de GHC Haskell pour analyse de structures récursives, C++ (reconstruction de vtable, RTTI, patterns STL)
• platforms.md — RE spécifique aux plateformes : macOS/iOS (Mach-O, signature de code, runtime Objective-C, Swift, dyld, contournement de jailbreak), firmware embarqué/IoT (binwalk, extraction UART/JTAG/SPI, ARM/MIPS, RTOS), pilotes noyau (Linux .ko, eBPF, Windows .sys), bus CAN automobile
• platforms-hardware.md — RE matériel et architecture avancée : reconstruction GPIO du contrôleur LCD HD44780, RISC-V avancé (extensions personnalisées, modes privilégiés, débogage), rétro-ingénierie et exploitation ARM64/AArch64 (convention d’appel, gadgets ROP, émulation qemu-aarch64-static)
• field-notes.md — Notes de référence rapides : types de binaires, contournement anti-débogage, patterns spécialisés, notes de cas CTF

---

Quand pivoter

• Exploitation Heap / ROP / noyau après compréhension du binaire → pwn-chain/
• Fichiers supprimés / PCAP / artefacts disque → digital-forensics/
• Application web avec un petit client auxiliaire → js-reverse/
• Véritable malware / C2 / pack → malware-analysis/
• Emballage de compétition CTF multi-type → ctf-sandbox/ (orchestrateur sidecar)

Workflow de résolution de problèmes

1. Commencer par l’extraction de chaînes — de nombreux défis faciles contiennent des drapeaux en clair
2. Essayer ltrace/strace — l’analyse dynamique révèle souvent les drapeaux sans rétro-ingénierie
3. Essayer le hook Frida — hooker strcmp/memcmp pour capturer les valeurs attendues sans rétro-ingénierie
4. Essayer angr — l’exécution symbolique résout automatiquement de nombreux vérificateurs de drapeau
5. Essayer Qiling — émuler des binaires d’architecture étrangère ou contourner un anti-débogage lourd sans artefacts
6. Cartographier le flux de contrôle avant de modifier l’exécution
7. Automatiser les processus manuels via des scripts (r2pipe, Frida, angr, Python)
8. Valider les hypothèses en comparant les sorties des décompilateurs (dogbolt.org pour côte à côte)

Gains rapides (À essayer en premier !)

# Extraction de drapeau en clair
strings binaire | grep -E "flag{|CTF{|pico"
strings binaire | grep -iE "flag|secret|password"
rabin2 -z binaire | grep -i "flag"

# Analyse dynamique - capture souvent le drapeau directement
ltrace ./binaire
strace -f -s 500 ./binaire

# Recherche de dump hexadécimal
xxd binaire | grep -i flag

# Exécution avec entrées de test
./binaire AAAA
echo "test" | ./binaire

Analyse initiale

file binaire           # Type, architecture
checksec --file=binaire # Fonctionnalités de sécurité (pour pwn)
chmod +x binaire       # Rendre exécutable

Stratégie de dump mémoire

Astuce clé : Laissez le programme calculer la réponse, puis dumpez-la. Placez un point d’arrêt à la comparaison finale (b *main+OFFSET), entrez une entrée de la bonne longueur, puis x/s $rsi pour dumper le drapeau calculé.

Détection de drapeau leurre

Motif : Plusieurs cibles factices avant la vérification réelle. Recherchez plusieurs cibles de comparaison en séquence avec différents messages de succès. Placez le point d’arrêt à la comparaison FINALE, pas aux précédentes.

Débogage PIE avec GDB

Les binaires PIE randomisent l’adresse de base. Utilisez des points d’arrêt relatifs :

gdb ./binaire
start                    # Force la résolution de la base PIE
b *main+0xca            # Relatif à main
run

Direction de la comparaison (Critique !)

Deux motifs : (1) transform(drapeau) == cible_stockée — inverser la transformation. (2) transform(cible_stockée) == drapeau — le drapeau EST la donnée transformée, appliquez simplement la transformée à la cible stockée.

Motifs de chiffrement courants

• XOR avec un seul octet — essayer les 256 valeurs
• XOR avec un texte clair connu (flag{, CTF{)
• RC4 avec clé codée en dur
• Permutation personnalisée + XOR
• XOR avec indice de position (^ i ou ^ (i & 0xff)) superposé à une clé répétitive

Référence rapide des outils

# Radare2
r2 -d ./binaire     # Mode débogage
aaa                # Analyser
afl                # Lister les fonctions
pdf @ main         # Désassembler main

# Ghidra (headless)
analyzeHeadless project/ tmp -import binaire -postScript script.py

# IDA
ida64 binaire       # Ouvrir dans IDA64

Notes approfondies

Utilisez field-notes.md après le premier tour de triage lorsque vous savez de quel type de cible il s’agit.

• Formats cibles : bytecode Python, WASM, Android, Flutter, .NET, UPX, Tauri
• Notes techniques : contournement anti-débogage, analyse VM, pièges x86-64, solveurs itératifs, Unicorn, canaux auxiliaires temporels
• Notes plateformes : macOS/iOS, firmware embarqué, pilotes noyau, Swift, Kotlin, Go, Rust, D
• Notes de cas : motifs de rétro-ingénierie modernes spécifiques aux CTF et motifs de défis classiques plus anciens

---

Contexte de routage

Entrée amont : skills/SKILL.md (contrôle général), routing.md Sortie aval :

• Besoin de décompilation IDA → ida-reverse/
• Besoin d’analyse CLI radare2 → radare2/
• Besoin d’analyse couche APK → apk-reverse/
• Besoin d’exécution dynamique Frida/angr → tools-dynamic.md
• Besoin de contournement anti-débogage → anti-analysis.md
• Rencontre d’un langage spécifique (Go/Rust/Python/WASM) → languages*.md
• Rencontre d’un motif CTF → patterns*.md

Modules associés de même niveau : apk-reverse/ (lorsque APK pointe vers .so, on peut revenir à la branche Frida/radare2 de ce module)

Auto-vérification d’achèvement (MUST passer avant de déclarer terminé)

• Ai-je exécuté chaque étape du workflow (et pas seulement lu) ?
• Ai-je utilisé des chemins d’outils réels basés sur tool-index ?
• Ai-je produit des preuves reproductibles (commandes/scripts/captures d’écran/rapports) ?
• Ai-je complété et renseigné les éléments de Checklist requis par RULES ?