使用 AI 进行逆向工程

一份关于逆向工程加密固件和软件的实用研究指南，利用 AI 辅助分析、实验和审查。

核心问题是受保护的材料在何处变得可用，以及该节点是否可被观测。恢复密钥是其中一条路径。其他路径包括：找到等效的明文产物、观测变换过程、执行已有的读取程序，或在未恢复密钥的情况下重建行为。

本仓库包含一份 31 种方法的综述、一个证据框架、公开来源示例以及可复用的调查模板。内容涵盖文件分析、软件插桩、重宿主、硬件获取、侧信道以及密码学局限性。每种方法都区分了前提条件、可能的结果以及支撑结论所需的证据。

从这里开始

1. 按照调查工作流确定目标产物、期望结果和可用访问权限。
2. 使用方法综述选择合适的实验。
3. 在声称恢复成功或解释失败之前，先应用证据框架。
4. 使用 AI 协作指南划分研究与审查工作，避免将模型的一致性意见当作证明。
5. 在调查模板中记录实验。

公开来源案例研究展示了加密镜像设计、透明闪存解密、Android 设置持久化以及启动里程碑。来源索引链接了本指南中使用的文档、实现和论文。

先确定结果，再选择工具

期望结果	如何确立该结果
单个明文产物	范围正确的认证或独立参考的一致性，且结构连贯
可复用的内容密钥	在适用样本上经独立验证的解密，并确定密钥作用域
设备密钥或根密钥	经验证的密钥身份和作用域；仅有内容密钥或密钥句柄是不够的
对行为的解释	覆盖所述行为的具体跟踪记录、数据流和测试
重建的可执行文件	格式正确性，以及在已记录环境中的代表性行为
厂商接受的修改镜像	针对实际签名和启动接受路径的独立证据

改变调查方向的纠正

• 高熵是随机性的线索。压缩和加密都能产生高熵；记录所用工具、尺度和窗口大小。Binwalk 熵文档
• 引导加载程序的位置取决于平台和镜像格式。前 64 KB 并非通用的提取规则，且更新包可能不包含引导加载程序。
• 加密和签名解决的是不同的问题。恢复明文并不能提供签名密钥，也不能证明修改后的镜像可以启动。MCUboot 加密镜像
• 成功的命令、看似合理的字符串、已加载的库或包装器返回值，都需要在与结论相关的层面上进行验证。参见基于来源的示例。
• 强密码学不会因为反编译器或语言模型而变得实际可破解。有用的进展通常来自周边实现、可访问的表示形式或某个具体的已证明弱点。完整 AES 双团研究

范围与来源

初始研究通过 AI 辅助的专家研究和批判性审查完成，包括 Astra、Opus 和 Fable 的贡献。审查是有选择地整合的：不支持的解读和重复的工作被拒绝。最终形成的指南提出方法论主张并引用公开来源；它并不声称提供了新的通用解密器，也不声称已证明对特定设备的攻破。

该公开仓库包含研究性文字、公开链接、空白模板以及一个文档验证工具。固件二进制文件、私有抓包、设备标识符、提取的密钥、凭据和操作日志不在其发布范围内。请将这些方法应用于你已获授权检查的系统和工件。

验证仓库

Python 3.9 或更高版本即可；无需第三方软件包。

python3 tools/check_docs.py
python3 tools/check_docs.py --self-test

本地校验工具会检查文件清单、Markdown 链接、方法编号、来源索引、版本记录以及若干常见的意外发布模式。它不会执行固件、连接设备、抓取链接的网站，也不会证明每一条技术陈述都正确。来源核实仍然是研究评审的一部分。

当前文档版本：1.0.0。参见变更日志和仅追加的历史记录。