AI 自动化逆向三十四自建指令缓存把分钟级查询压到秒级本文是「AI 自动化逆向」系列第 34 篇。上一篇换一个「驱动器」覆盖率跳了一个量级下一篇预告假设空间枚举的完备性是假设出来的。前言上一篇的收尾说所有这些当场重跑、当场对账的纪律要有一件东西付得起——这一篇就讲它。它是一件自建的基础设施指令缓存。作用一句话把分钟级的查询压到秒级。听起来像纯粹的工程优化——不是。它是纪律的地基。同前几篇文中AI指执行分析的模型我指设定目标、审结果的人内容均已脱敏。一、AI 在这里踩的坑没有缓存纪律就贵先看没有它的日子想查某个字符串被谁引用一次交叉引用、想看某段地址附近的几条指令一次窗口反汇编——每一个小问题都要从头把整个二进制扫一遍分钟级。一天里这样的查询要发生几十次。于是出现两件坏事时间被烧掉——这个可见更隐蔽的纪律变贵了。“当场重跑”“当场对账在分钟级的成本面前很容易被绕过一句这次就算了”——第 18 篇的账纪律如果比违反它更贵它就形同虚设。所以缓存的定位不是更快是让正确的工作方式变成最省力的方式。二、过程缓存怎么造三步每一步都带着前面的教训。第一步重同步扫描——先把扫全这件事做对不能用从起点顺着读的老办法第 1 篇的老坑流式解码遇到解不动的字节就安静地停。重同步扫描的规则是逐字节尝试解码遇到坏字节就退一个字节重新起步——并且报告覆盖率“扫完了还是半路停了”必须分得开。第二步存成已对齐校验的指令清单扫描产出的是每条指令的地址、字节、助记符——近九十万条存成一个紧凑文件。特点加载即用重扫一遍只要十秒级可以接受但没必要每次都做——缓存的意义就在这里一次扫描长期受益。第三步把查询暴露成一次调用缓存之上开两个口子反查引用某个立即数的指令交叉引用——一次调用秒级返回取某地址附近的窗口反汇编——同样一次调用。到这一步“查一下从一个工程任务变成一个随手动作”——上游的一切验证纪律从此付得起。三、判据与验证缓存自己的两条纪律缓存是工具但工具也要被纪律管——而且是两条它特有的。纪律一缓存必须与另一条独立路径互相校验缓存是一种扫描的产物它不是从天上掉下来的真源。这个项目里的做法是这个缓存近九十万条由两套独立实现分别重扫得到完全相同的总数——互证同时它还要和线性反汇编对得上两条路径、两份读数一致的部分才当作可信这正是第 20 篇闭环思路在工具层的应用反过来的收益更妙当缓存与线性解码双证一致时它就能当新结论的证据——这个项目里有一次判定这段字节真的是垃圾就是靠双证一致钉死的。缓存不是唯一真源是与线性解码互为裁判的第二读数。纪律二缓存文件之间的类型约定不可迁移这一条是血的教训。这个项目的缓存有个特性很容易出事同一个批次里有的文件把地址存成整数、有的存成字符串甚至同一份缓存在不同代码路径上的形态都不一样。而 AI 已经为字段名/类型栽过四次第 10 篇的账。于是纪律两条用之前每个文件各测一次print(type(x), repr(x))不许跨文件推断类型——上一个缓存里它是整数这个知识对下一个缓存没有效力。为什么缓存特别容易这样因为它是多轮工作的遗产每一个生成者都按自己的理解存字段而缓存很少被回头看。遗产要验明正身——“看起来是个熟悉的文件不是和上次那个一样的文件”。还有一条通用版缓存要让当场重跑变便宜才算完成使命——别把它做成又一件不敢动、也懒得验的老物件。四、结论一句话缓存是把纪律从贵变便宜的设施。它不产出结论——它让验证结论这件事变得随手可做而它的可信来自它自己那两条纪律与独立路径互证、类型逐个验。设施越基础越值得被纪律管——因为它一旦看起来权威全项目都会跟着它一起错。五、边界声明本文只讨论AI 自动化逆向中的判据设计与审核方法不涉及任何具体产品、厂商或服务的分析结论。文中所有地址、偏移、常量、字段名一律为占位符或示意值不代表任何真实目标中的取值示例代码为说明判据而编写不构成可运行的针对特定目标的工具。文中提到的比例与数字均来自作者项目内的测量记录仅用于说明方法失效的方式。请勿将本文内容用于未授权的用途。六、收尾工具讲完了。下一篇去协议战场讲一个自信的穷举是怎么错的两万多种组合全部失败——不是因为敌人太强是因为假设空间本身漏了一种形态。下一篇计划聊假设空间枚举的完备性是假设出来的。转载请注明出处https://lizhiyong.blog.csdn.net/article/details/169268908