【免费下载链接】open-reverselabOpen-source AI reverse-engineering agent platform and MCP server for Ghidra, Frida, x64dbg and Rizin — automated PE/APK/binary analysis, CTF and malware research, with 100 MCP tools and a 194-article runnable knowledge base.项目地址https://gitcode.com/gh_mirrors/op/open-reverselab点击查看免费下载open-reverselab 是一个开源的 AI 逆向工程 Agent 平台内置 100 MCP 工具和 194 篇可运行知识库。本文带你走通 PE 逆向全流程先用 triage 初筛样本再用 Ghidra 静态定位关键函数接着用 x64dbg 动态断点验证最后进入免杀处理环节——一条从初筛到免杀的完整证据链。为什么选 open-reverselab 做 PE 逆向传统逆向教程往往是碎片化的这里教你用 DiE 看壳那里教你在 x64dbg 设断点但样本进来后第一步到底干什么始终模糊。open-reverselab 把 PE 逆向整理成一条可执行的标准分析链每一步都有对应的知识库文章和 MCP 工具样本哈希/类型/保护 → Ghidra 静态分析 → x64dbg/Frida/Procmon 动态验证 → 脱壳/配置恢复 → IOC → YARA/Sigma → Patch 副本 → 报告对应关系一目了然环节知识库文章MCP 工具初筛 triage01-triage/01-aob-signature-scan.mdtriage_pe静态分析03-static-analysis/ghidra_headless_analyze动态断点03-x64dbg-breakpoints.mdmake_x64dbg_breakpoint_script免杀处理09-av-evasion/01-ai-powered-evasion.mdpatch_pe_bytes第一步triage 初筛——3 分钟判断样本是什么拿到一个 PE 样本先别急着上调试器。open-reverselab 的 Windows 分析流程规定初始识别顺序是 DiE → PE-bear → strings见 boards/windows/README.md。调用triage_peMCP 工具一条命令即可拿到文件哈希MD5 / SHA1 / SHA256后续所有证据都绑定它类型识别DiE 告诉你文件是加壳的UPX、VMP还是明码编译器是什么PE 结构节区表、入口点、映像基址Rizinrz-bin输出导入表与字符串一眼看出样本依赖哪些 API、藏了什么线索。 判断技巧熵值普遍接近 8 的节区通常意味着加密/压缩——大概率加壳了导入表干净但节区怪异警惕 VMP 虚拟化可转 05-crypto-unpack 分类处理。第二步Ghidra 静态分析——无头跑完JSON 出结果Ghidra 是 NSA 出品的免费反编译器。手动导入、配置、导出函数列表很繁琐open-reverselab 把它做成了无头流水线MCP 工具ghidra_headless_analyze会自动导入样本、执行分析、导出结构化 JSON函数、字符串、导入表导出脚本见 ReverseLabExportSummary.java产物落在exports/windows/目录。拿到 summary JSON 后配合ghidra_summary_call_focus按行为过滤函数比如只看调用VirtualAlloc、WriteProcessMemory的函数就能快速圈出可疑区域——这些地址就是下一步 x64dbg 断点的最佳来源。新手建议每定位一个函数用笔记模板 windows-pe-analysis.md 记录哈希、RVA、导入、反编译片段形成可复验的证据链。第三步x64dbg 动态验证——断点设在哪里静态分析给出嫌疑名单动态调试负责实锤。open-reverselab 的杀手锏是make_x64dbg_breakpoint_script它读取 triage 和 Ghidra 的 summary自动生成 x64dbg 断点脚本输出到scripts/windows/debug/。常用断点集来自 x64dbg 断点策略目的断点 API观察什么反调试kernel32.IsDebuggerPresent返回值是否为 1脱壳缓冲区kernel32.VirtualAlloc壳解密内存大小写入/Patch 前兆kernel32.VirtualProtect代码段权限变更进程注入kernel32.CreateRemoteThread谁在远程执行DLL 加载ntdll.LdrLoadDll全部模块加载入口小技巧用日志断点不中断执行批量记录VirtualAlloc调用脱壳完成后在.text段设内存访问断点即可停在 OEP原入口点F12 暂停后按 AltF9 运行到用户代码能帮你快速跳进目标模块。第四步免杀处理——Patch、加密、Loader 一条龙当你需要为授权测试环境生成免杀 payload 时open-reverselab 提供了一条完整的四步流水线详见 AI 驱动免杀脚本全部在 scripts/windows/av-evasion/Patch 破坏静态特征shellcode-patch.py 做同义指令替换 花指令注入多层加密shellcode-encrypt.py 支持 XOR / RC4 / 自定义 S-Box输出 C 数组混淆伪装shellcode-obfuscate.py 把字节流伪装成 UUID / IPv4 / MAC 地址数组Loader 编写loader.c 模板包含反沙箱检测、VEH 异常处理、Direct Syscall 绕过用户态 Hook再用 merge_loader.py 合并编译。⚠️ 免杀技术仅限授权渗透测试与研究环境使用请勿用于未授权目标。每一步都有验证标准比如 Patch 后特征字符串应减少 50% 以上最终在虚拟机中用多杀软实测确认不报毒——这正是 open-reverselab 可运行、可复验理念的体现。配套资料与上手路径PE 逆向知识库kb/pe-reverse/ 共 10 类 31 篇从 AOB 特征码扫描、TLS Callback 到 VMP 去虚拟化、YARA 规则编写MCP 工具源码ReverseLabToolsMCPtriage、Ghidra、x64dbg、YARA 工具全部可调用Windows 工具链说明boards/windows/Ghidra、Cutter、PE-bear、DiE、x64dbg、Procmon报告模板templates/reports/final-report.md分析结束后按模板归档到reports/windows/。上手只需两步git clone https://gitcode.com/gh_mirrors/op/open-reverselab cd open-reverselab powershell -ExecutionPolicy Bypass -File scripts/misc/install_tools.ps1然后按哈希 → triage → Ghidra → x64dbg → Patch → 报告的链条走每一个环节都能在知识库里找到对应文章和 MCP 工具。这就是 open-reverselab 的 PE 逆向全流程从初筛到免杀每一步都有据可查、可复现。赞分享【免费下载链接】open-reverselabOpen-source AI reverse-engineering agent platform and MCP server for Ghidra, Frida, x64dbg and Rizin — automated PE/APK/binary analysis, CTF and malware research, with 100 MCP tools and a 194-article runnable knowledge base.项目地址https://gitcode.com/gh_mirrors/op/open-reverselab点击查看免费下载相关推荐Ghidra逆向工程完整教程从零开始的终极指南还在为复杂的二进制分析工具望而却步吗Ghidra作为专业机构开源的逆向工程平台完全免费且功能强大无论你是安全研究员、软件开发工程师还是逆向工程爱好者这款如何快速掌握PE-bear零基础也能学会的PE文件逆向分析工具如何快速掌握PE bear零基础也能学会的PE文件逆向分析工具 PE bear是一款功能强大的Portable ExecutablePE文件逆向分析工具逆向工程网络安全x64dbg调试器完全指南从入门到精通逆向工程作为一款专为Windows平台设计的开源x64/x32调试器它已经成为逆向工程和恶意软件分析领域不可或缺的工具。无论你是安全研究人员、软件开发者还是逆向工程爱逆向工程调试器开发工具应用安全创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考