附录 A · 工具速查表

附录导读本附录是混淆工具和反混淆工具的快速索引按用途分类相当于一本工具字典第 1 节混淆工具——把代码变难分析的加固方武器第 2 节反混淆工具——把混淆代码还原回去的分析方武器第 3 节调试与分析工具——逆向工程的基础平台IDA、Ghidra、Frida 等第 4–5 节在线分析平台和移动安全工具。使用建议不需要通读。当你遇到具体任务时比如拿到一个 OLLVM 混淆的样本按用途翻到对应分类根据类型和简评两列快速选型即可。初学者可优先关注带推荐首选必备字样的条目。表中出现的常见术语速记 -IR 级在编译器中间表示LLVM IR层面做混淆需要源码或编译期介入 -二进制级直接对编译产物可执行文件做混淆无需源码 -AST 级对源代码的抽象语法树做变换常见于 JavaScript -MBAMixed Boolean-Arithmetic混合布尔-算术一种把简单算式改写成难以理解的位运算组合的混淆手法。附录知识定位本附录整体属于实践应用是选型查阅工具没有需要先理解的理论内容。表格中每一行都是你在实际工作中可能直接下载、安装、运行的工具类型简评两列可以直接指导你的选型决策。不需要通读用到时查即可。1. 混淆工具知识定位实践应用。这是加固方选型用的工具清单——如果你要给自己的代码加混淆保护直接按类型筛选目标语言/平台再看简评挑一个开源免费或预算内的商业方案。工具类型平台开源/商业核心技术简评官方链接OLLVMObfuscator-LLVM基于 LLVM 的开源代码混淆框架IR 级全平台开源CFFControl Flow Flattening控制流平坦化 BCFBogus Control Flow虚假控制流 Sub经典但已过时LLVM 4.0不推荐直接使用https://github.com/obfuscator-llvm/obfuscatorHikariIR 级全平台开源OLLVM 增强 间接跳转/函数封装最活跃的 OLLVM 分支推荐https://github.com/HikariObfuscator/HikariArmaririsIR 级全平台开源OLLVM 增强侧重 Android 兼容性https://github.com/ArmaririsGroup/ArmaririsVMProtect二进制级Win/Mac/Linux商业代码虚拟化 变异最强商业保护方案https://vmpsoft.com/Themida二进制级Windows商业虚拟化 反调试 anti-dump集成度高含 License 管理https://www.oreans.com/Themida.phpCode Virtualizer二进制级Windows商业轻量虚拟化性能友好https://www.oreans.com/CodeVirtualizer.phpjavascript-obfuscatorAST 级Web/Node开源CFF 字符串数组 自卫JS 混淆事实标准https://github.com/nicedayzhu/javascript-obfuscatorJScramblerAST 级Web/Node商业Polymorphic JS 代码锁商业级 JS 保护https://jscrambler.com/dProtectIRDEX 级Android开源MBA 字符串保护Android 专用https://github.com/nicedayzhu/dProtectProGuard/R8DEX 级Android开源名称混淆 死代码消除 优化Android 构建标配https://www.guardsquare.com/proguardTigress源码级C学术/免费虚拟化 多态 JIT学术界标杆混淆器支持多种虚拟化架构https://tigress.wtf/Ipa Guard二进制级iOS商业名称混淆 资源加密无需源码即可混淆 iOS 应用https://www.ipaguard.com/2. 反混淆工具知识定位实践应用。这是分析方选型用的工具清单——拿到一个被混淆的样本后按目标列匹配混淆类型OLLVM CFF、MBA、JS 混淆等直接选对应工具上手跑。工具类型目标核心方法简评官方链接D-810IDA 插件OLLVM CFF/BCFMicrocode pattern matchingOLLVMObfuscator-LLVM基于 LLVM 的开源代码混淆框架克星一键去平坦化https://github.com/zhkl0228/d810deflatPython 脚本OLLVM CFFangr 符号执行对标准 OLLVM 有效https://github.com/cq674350529/deflatCoBRACLI/库/LLVM PassMBAMixed Boolean-Arithmetic混合布尔-算术表达式Worklist 36 Pass99.86% MBA 化简率当前最强https://github.com/trailofbits/CoBRASiMBA库线性 MBA线性代数化简快速但仅限线性https://github.com/DenuvoSoftwareSolutions/SiMBAGAMBA库多项式 MBA多项式化简SiMBA 的扩展https://github.com/DenuvoSoftwareSolutions/GAMBAmsynthPythonMBA程序合成 (Miasm)广泛但慢https://github.com/mrphrazer/msynthWebCrackCLI/库JS 混淆AST pattern bundle 拆解JavaScript 反混淆和 bundle 拆解工具JS 反混淆首选https://github.com/nicedayzhu/webcrackjs-de-obfuscatorCLIJS 混淆Babel AST 全自动功能强大的 JS 反混淆https://github.com/nicedayzhu/js-de-obfuscatorGepettoIDA 插件通用二进制LLM 辅助语义理解AI 辅助逆向标杆https://github.com/JusticeRage/Gepettoclass-dumpCLIiOS/macOS ObjCMach-O 元数据提取ObjC 逆向必备https://github.com/nygard/class-dump3. 调试与分析工具知识定位实践应用。这些是逆向工程的日常基础平台反汇编器、调试器、符号执行框架不管做加固还是做分析都会用到建议至少挑一款静态工具IDA/Ghidra和一款动态工具Frida/x64dbg装好备用。工具类型平台开源/商业核心能力简评官方链接IDA Pro反汇编/反编译Win/Mac/Linux商业多架构反汇编 Hex-Rays 反编译 丰富插件生态IDAInteractive DisAssembler交互式反汇编器逆向工程行业标准Hex-Rays 反编译器几乎不可替代https://hex-rays.com/ida-pro/Ghidra反汇编/反编译全平台 (Java)开源 (NSA)多架构反编译 P-Code IR 脚本自动化NSA 开源的反编译框架免费 IDA 替代品社区活跃https://ghidra-sre.org/Binary Ninja反汇编/反编译Win/Mac/Linux商业多级 ILLLIL/MLIL/HLIL 强 APIIL 体系设计优雅API 最好用适合自动化分析https://binary.ninja/Frida动态插桩全平台 移动开源JS 注入 方法 Hook 内存操作跨平台动态插桩工具动态分析瑞士军刀跨平台 hook 首选https://frida.re/x64dbg调试器Windows开源x86/x64 用户态调试 插件 脚本Windows 平台最流行的开源调试器OllyDbg 继承者https://x64dbg.com/LLDB调试器macOS/Linux/Win开源LLVM 生态调试器 Python 脚本macOS/iOS 逆向首选调试器与 Xcode 深度集成https://lldb.llvm.org/Radare2/Rizin多功能框架全平台开源反汇编 分析 调试 patch 脚本终端党最爱功能极全但学习曲线陡峭Rizin 是友好分支https://rizin.re/ / https://rada.re/angr符号执行全平台 (Python)开源二进制符号执行 CFG 恢复 约束求解基于 Python 的二进制符号执行框架自动化漏洞发现和反混淆利器学术界广泛使用https://angr.io/Triton符号执行/污点分析全平台 (Python/C)开源动态符号执行 污点跟踪 指令级模拟动态符号执行和污点分析框架轻量级 DSE 框架适合精细化指令级分析和反混淆https://triton-library.github.io/4. 在线分析平台知识定位实践应用。这些是免注册或低门槛即可用的在线服务拿到一个可疑样本时可以先上传到这里快速过一遍不需要在本地搭建分析环境。平台用途特点简评官方链接VirusTotal多引擎恶意软件扫描70 杀毒引擎联合检测 社区评论 YARA 规则样本分析第一站上传即可获得全面检测报告https://www.virustotal.com/Hybrid Analysis沙箱动态分析Falcon Sandbox 驱动 行为报告 进程树 网络流量CrowdStrike 旗下动态行为报告详细免费额度充足https://www.hybrid-analysis.com/any.run交互式沙箱浏览器中实时操作样本 网络/进程/文件行为可视化支持交互操作点击、输入非常适合分析需用户交互的样本https://any.run/5. 移动安全工具知识定位实践应用。专攻 Android/iOS 应用分析场景涉及移动端逆向或安全测试时直接按平台和需求反编译/运行时 hook/自动化扫描挑选对应工具。工具平台类型核心能力简评官方链接objectionAndroid/iOS运行时分析基于 Frida 的运行时 hook 框架无需越狱/root移动安全测试瑞士军刀一行命令即可 hook 常见安全机制https://github.com/sensepost/objectionapktoolAndroid静态分析APK 反编译 → smali 资源还原 重打包Android 逆向必备smali 修改后可重打包安装https://apktool.org/jadxAndroid反编译DEX → Java 源码 GUI 浏览 搜索最好用的 Android 反编译器GUI 和命令行均支持https://github.com/skylot/jadxclass-dumpiOS/macOS头文件提取Mach-O ObjC 类/方法/协议元数据提取ObjC 逆向第一步导出所有类声明快速了解应用结构https://github.com/nygard/class-dumpHoppermacOS/iOS/Linux反汇编/反编译ARM/x86 反汇编 ObjC/Swift 友好 脚本macOS/iOS 逆向的轻量替代品伪代码质量不错https://www.hopperapp.com/MobSFAndroid/iOS自动化分析静态分析 动态分析 API 安全扫描 报告生成移动应用安全测试一站式平台开箱即用https://github.com/MobSF/Mobile-Security-Framework-MobSF提示工具版本和链接可能随时间变化请以各项目官方页面为准。