工具

0vercl0k/kepaboo

中和 KEPServerEX 反调试技术

structio-labs/n0xis

AI-first reverse-engineering toolkit: static analysis, SSA decompiler, live memory, provenance. Source-available (PolyForm Noncommercial).

habanada/nativepe

Object Pascal (Delphi) 库，用于解析、映射、加载和转储 Windows PE 文件，支持重定位、导入、TLS 以及远程进程内存读取。

rasetsuu/vmp-devirt

Trace-assisted VMProtect devirtualization research platform: version front-ends feed a shared Remill/LLVM backend to lift handlers, recover dataflow,…

akatorich/kernelflirt

Windows 内核级调试器，具有 OllyDbg/IDA 风格的 UI、软件和硬件断点、PDB 符号、反编译器，以及 17 个用于在虚拟机中进行逆向工程和恶意软件分析的插件。

gmh5225/iat-hook

C++ DLL，通过解析 PE 头并将导入函数地址重定向到目标进程内的自定义钩子，来执行导入地址表钩取。

mrphrazer/binary-cartography

关于逆向工程、恶意软件分析和软件保护的技术网络研讨会。

racoten/reflectivepluginloader

Windows x64 的反射式 PE 映射器与抗规避模块覆盖引擎

ngwg/ceasta

disassembler, decompiler and debugger in one, with a built-in mcp server: point an ai at a binary and it can debug it, not just read it. ida-style…

tihanyin/rex-skill

REx@Skill - 面向二进制漏洞发现的智能体逆向工程执行技能

gmh5225/gmh5225

基于LLVM的安全研究工具链：NeverC，一个C23交叉编译器，以及NeverD，一个二进制分析与反编译引擎，可将PE、ELF、Mach-O、EVM和SBF提升为LLVM IR。

rurixis/msrkit

一种将 ROP 链与 WRMSR 原语结合使用以调用内核函数，并通过 BYOVD（AmdTools64.sys）映射未签名驱动程序的概念

gmh5225/frida-vmprotect-bypass

Frida 脚本，用于绕过移动平台上的 VMProtect 运行时保护，从而对受保护的二进制文件进行动态插桩和分析。

veridiff/veridiff

用于原生代码的动态分支分歧查找器——跟踪两次 Frida 执行并找出它们发生分歧的确切指令。

idov31/silverseal

Linux 后渗透框架，带有 UEFI bootkit，可在现代 Linux 系统上持久且隐蔽地加载基于 Rust 的内核模块 rootkit。

gmh5225/dse-patcher

Windows 工具，通过修补内核变量来禁用驱动程序签名强制，允许加载未签名驱动程序以进行测试和研究。

bmax121/kernelpatch

仅使用经过剥离的 Linux 内核镜像来对 Linux 内核进行补丁和挂钩。