REA 实战：4 条命令逆向你的第一个二进制

REA 实战4 条命令逆向你的第一个二进制【免费下载链接】reaReverse engineer anything with agents, from app behavior down to native binaries.项目地址: https://gitcode.com/GitHub_Trending/rea2/rea价值锚点REAReverse Engineer Anything是逆向工程编排层核心形态是「一个 CLI 一个 MCP server」。Hopper、Ghidra、IDA 都是可插拔的分析引擎你与 AI Agent 通过同一套命令提问拿回的每个结论附带证据。它不是反编译器也不是 IDE不替代引擎的 GUI而是替你完成操作与取数。环境与 60 秒上手环境要求Node.js 22.x22.23.4、24.x24.22.1或 26.12.123、25 与预发布版不支持npm 包名是 rea-agents。不装任何东西先对任意已解包的 Electron 应用或.asar跑一次静态解析复制即有输出免安装跑一次# static parse of a JS app, no engine npx -y rea-agentslatest analyze-javascript-application /abs/path/to/app --json返回 JSON 含模块清单、导入关系与 Electron IPC 边界各带证据。确认无误后正式接入# install the rea CLI globally npm install --global rea-agents # register MCP with your agent, plan first npx rea-agents setupsetup先列出每个要改的配置路径与备份方式你确认后才写入支持 Claude Code、Codex、Cursor、Gemini CLI 等客户端Node、Ghidra 这类外部依赖它从不替你安装。核心能力拆解免引擎解析 JS/Electron 应用静态解析返回应用结构完全不经过原生分析引擎。# parse app, save full evidence npx -y rea-agentslatest analyze-javascript-application /abs/path/to/app --json app.json看输出顶层modules数组每个模块带imports与证据字段几百 MB 的完整证据可再经rea inspect-analysis-view投影成约 10 KB 的 summary 视图。给函数建档并取伪代码一次拿到入口、调用者/被调用者、控制流与有界数据流。# function dossier: entry, callers, CFG rea function /abs/path/to/bin main --provider ghidra --json # pseudocode for a given address rea decompile /abs/path/to/bin 0x401146 --provider ghidra --json # raw assembly only, no decompiler rea instructions /abs/path/to/bin main --provider ghidra --json看输出function档案里的入口地址与调用者列表decompile是反编译器产物输出里会保留这条限制声明别把它当原始源码。查字符串与交叉引用用交叉引用xref和字面量搜索从入口追到数据。# who references this address rea xrefs /abs/path/to/bin 0x401146 --provider ghidra --json # literal string search rea search /abs/path/to/bin source-owned --provider ghidra --json # regex search of procedure names rea search /abs/path/to/bin ^read_ --mode regex --kind procedures --provider ghidra --json看输出xrefs返回有界列表且保留原始引用类型调用、跳转、读/写字符串落点就是main传给read_values的参数。离线检视 ELF 布局不启动任何引擎直接回答「这个文件里有什么」。# offline ELF layout, needs isolated python REA_PWNTOOLS_PYTHON/abs/env/bin/python \ rea inspect-binary-layout /abs/path/to/bin --json看输出节区/段布局、原始符号与重定位以及 canary、PIE、NX、RELRO 四项静态推断。完整工作流一条链路走通目标选仓库自带的 17 行 C 文件scripts/fixtures/binary-layout.cmain调read_values再读两个全局变量与一个线程局部变量是理解符号、函数与引用的最小样本。链路为编译 → 概览 → 建档 → 引用验证 → 离线复核。准备 debug 与 stripped 两份目标# debug build, keep symbols gcc -O0 -g -o /tmp/hello_debug scripts/fixtures/binary-layout.c # stripped build, no symbol table gcc -O0 -s -o /tmp/hello_stripped scripts/fixtures/binary-layout.c预期stripped 版nm输出几乎为空rea 仍能还原函数边界。变体-O0换-O2对比边界识别差异。取概览# overview: identity, symbols, strings, functions rea analyze /tmp/hello_stripped --provider ghidra --json预期artifact路径、SHA-256、大小是后续所有结论的锚点coverage与unknowns分别说明分析到哪、没解出什么。变体追加--snapshot /tmp/analysis/program.json后续相同查询直接复用缓存。给main建档并反编译# dossier for main rea function /tmp/hello_stripped main --provider ghidra --json # decompile main at its entry rea decompile /tmp/hello_stripped 0x401146 --provider ghidra --json预期档案含main → read_values调用边伪代码可读作return read_values(...)。变体--detail summary --evidence_output /tmp/dossier.json只返回紧凑摘要完整数据流落盘。验证引用链# references to mains entry rea xrefs /tmp/hello_stripped 0x401146 --provider ghidra --json # locate the literal string rea search /tmp/hello_stripped source-owned --provider ghidra --json预期引用列表出现调用边字符串搜索命中只读数据段入口到数据的闭环成立。变体--mode regex --kind procedures ^read_按正则搜过程名。离线复核# layout and mitigations without an engine REA_PWNTOOLS_PYTHON/abs/env/bin/python \ rea inspect-binary-layout /tmp/hello_stripped --json预期节区/段清单、原始符号与重定位、四项缓解推断。变体--filter-output只选脚本需要的字段。常用参数变体对照参数默认行为变体效果--provider按规则自动选择显式绑定 ghidra / hopper / ida / kuna--json终端 TOON结构化输出方便jq--snapshot路径不缓存相同目标字节重放命中缓存REA_ANALYSIS_PROVIDER未设置当前 shell 的默认提供方REA_GHIDRA_STARTUP_TIMEOUT_MS330000放宽大目标启动期限GHIDRA_HEADLESS_MAXMEM引擎默认512M压低 JVM 堆全部参数见官方 CLI 参考。边界、状态码与排错三件事先说清楚离线布局诊断仅覆盖 Linux x64 主机与限定 ELF 谱系ELF64 x86-64、小端 AArch64、ELF32 i386/ARM/MIPSLinux arm64 主机直接返回capability_unavailable。原生深度分析依赖你已有的 Hopper、Ghidra、IDA 或 Kuna 安装rea 不替你装引擎setup仅在你显式批准后安装 Hopper。Node.js 23、25 与预发布版不受支持运行时只认 22.x、24.x、26.12.1。退出码对照退出码含义0完成结果可能仍含部分证据与警告1操作未完成输入无效、权限、取消、超时均返回此项128 N被信号 N 终止130 即 SIGINT143 即 SIGTERM两个最高频报错现象analyze报capability_unavailabledetails.selection_reason为ambiguous——多个引擎都支持该目标没人被选中。修复rea doctor --provider ghidra --json。备注doctor 只读且逐项给出修复建议从details.candidate_ids挑一个用--provider显式绑定即可。现象大目标首次分析报provider_timeoutGhidra 启动期限默认 330,000 ms。修复REA_GHIDRA_STARTUP_TIMEOUT_MS1800000 rea analyze /tmp/hello_stripped --provider ghidra --json。备注期限覆盖导入、自动分析与桥接就绪小内存机器另设GHIDRA_HEADLESS_MAXMEM压低堆。行为与预期不符时先rea update再重试逐条报错可对照用户可见错误清单引擎配置细节见安装与就绪检查。记住第 1 节的锚点rea 的产出不是更快的反编译而是每条结论连同它的证据一起到达——你只负责提问。【免费下载链接】reaReverse engineer anything with agents, from app behavior down to native binaries.项目地址: https://gitcode.com/GitHub_Trending/rea2/rea创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考