天空软件工作室的博客 — 逆向经验与算法

逆向工程的方法论是什么？从入口定位到算法还原的通用路径

Sat, 05 Sep 2026 00:00:00 GMT

逆向分析的通用方法论只有五步：明确目标 → 定位入口 → 追踪数据流 → 还原逻辑 → 闭环验证。所有具体技巧都挂在这条链上。这篇文章把这五步展开，让你在拿到任何陌生目标时有一张确定性的地图。

为什么逆向需要方法论而不是技巧？

技巧（某个 Hook 点位、某条 IDA 快捷键）会随目标与工具版本过期，但"从现象反推实现"的路径是稳定的。方法论的另一个作用是控制范围：明确这次分析只回答什么问题，防止在百万行的反编译代码里漫无目的地漂移。

第一步：明确目标与边界

动手前写下三行字：要还原什么（例：请求头里 X-Sign 的生成算法）、验收标准是什么（例：本地能对任意输入复现出一致的签名）、合法边界在哪（例：自建靶场/授权项目）。这一步看似形式主义，实际决定了后面每一步的取舍。

第二步：怎么找入口？

按性价比从高到低试这些锚点：

字符串与字段名：参数名、URL 片段、错误文案在反编译产物里全局搜索，命中率最高；
网络层回溯：Hook 收发函数（如 XMLHttpRequest、OkHttp 拦截点），对请求体下断点，沿调用栈向上找；
算法指纹：魔数（0x67452301 等）、S-box、固定表名——直接暴露标准算法的存在。

// 示例：用 Frida 快速确认某函数是否是目标入口
Interceptor.attach(Module.getBaseAddress('libtarget.so').add(0x1A2B3C), {
  onEnter(args) {
    console.log('arg0:', args[0].readUtf8String());  // 观察输入
  },
  onLeave(ret) {
    console.log('ret :', ret.readUtf8String());      // 观察输出
  }
});

第三步：追踪数据流

拿到入口后，问三个问题：输入从哪来、经过哪些变换、输出去了哪。把中间变量按顺序 dump 出来，对相邻两次调用做差分——值变了但逻辑没变的字段是盐/时间戳，值不变的往往是密钥或设备指纹。

第四步：还原逻辑

先判断是标准算法还是自研变体：

特征: MD5 常量 0x67452301 / AES S-box / SHA-256 K 表 → 标准算法，直接套库验证
异常: 常量被替换、轮数改变、多一轮异或 → 魔改，逐段 diff 定位改动点

用 python 快速验证假设，输入输出对不上就回到第三步补 dump。常见的哈希与编码特征对照可以把识别时间从小时级压到分钟级。

第五步：闭环验证

把还原的算法封装成独立函数，用目标在真实运行中产生的多组输入输出对做回归验证：10 组全对才算还原成功。只对一组样例"碰巧一致"是最常见的假阳性。

工具链建议

静态：IDA / Ghidra / jadx（Android）/ 浏览器 DevTools（JS）。动态：Frida 通用性最好，入门见 Frida Hook 的三个层次。所有分析在授权范围内进行——本文与后续实战篇只覆盖方法论与自建靶场演示，不涉及任何具体商业产品的绕过。

Frida 入门：Hook 函数的三个层次与调试技巧

Wed, 12 Aug 2026 00:00:00 GMT

Frida 的 Hook 能力分三个层次：Java 层方法拦截 → Native 函数拦截 → 内存级读写。从上往下难度递增、能力递增。本文按层次给出可运行的最小脚本与排错思路，帮你把"注入成功"到"拿到数据"的距离缩到最短。

环境怎么搭？

# PC 端（以 Python 环境为例）
pip install frida-tools
frida --version

# Android 设备端：下载对应架构的 frida-server 推送并运行
adb push frida-server-android-arm64 /data/local/tmp/fs
adb shell "chmod +x /data/local/tmp/fs && /data/local/tmp/fs &"

# 验证连接
frida-ps -U

测试目标建议使用 OWASP UnCrackable 或自写的 demo app——不要拿线上商业产品练手。

层次一：Java 层 Hook

目标在 jadx 里能看到的方法，用 Java.perform 拦截：

// hook_java.js — 拦截某类的静态方法并打印参数与返回值
Java.perform(() => {
  const Cls = Java.use('com.demo.app.CryptoUtil');
  Cls.sign.overload('java.lang.String').implementation = function (input) {
    const ret = this.sign(input);
    console.log('[sign] in :', input);
    console.log('[sign] out:', ret);
    return ret;
  };
});

frida -U -l hook_java.js -f com.demo.app   # spawn 模式，覆盖 attach 抓不到早期调用的场景

常见坑：方法重载时必须用 overload() 指定签名；类名被混淆就用脚本枚举当前内存里的类。

层次二：Native 层 Hook

目标在 so 库里，先用偏移量定位，再 Interceptor.attach：

// hook_native.js — 拦截 so 中的未导出函数（偏移 0x1A2B3C）
const base = Module.getBaseAddress('libnative.so');
Interceptor.attach(base.add(0x1A2B3C), {
  onEnter(args) {
    // 按函数约定读参数：指针按字节读，整型按位读
    console.log('[n] arg0 ptr:', args[0].readCString());
  },
  onLeave(ret) {
    console.log('[n] ret:', ret.toInt32());
  }
});

定位偏移的方法：IDA 打开 so → 找到目标函数 → 记录函数起始地址减去模块基址。导出函数可以直接 Module.getExportByName(null, 'symbol')。

层次三：内存级操作

前两层都不奏效时（函数被内联、逻辑写在宏里），退到内存层：Memory.scan 搜特征字节、Memory.readByteArray 直接读数据区、Memory.protect 改页属性。这是"最后手段"，脚本可移植性差，每次版本更新都要重新定位。

调试心法

三个技巧贯穿三层次：

差分观察：同一操作重复两次，对比 dump 结果，找"变的"和"不变的"字段；
从调用栈反推：console.log(Java.use('android.util.Log').getStackTraceString(Java.use('java.lang.Exception').$new())) 打印 Java 调用栈，定位是谁在调目标函数；
最小化注入：一次只 Hook 一个函数，确认生效再加下一个——批量 Hook 出错时几乎无法定位。

Frida 在完整分析流程中的位置，见逆向方法论五步；拿到关键数据后如何还原算法，将在会员篇签名算法分析实战中以自建靶场为例完整演示。

如何快速识别一个哈希或编码算法？特征长度对照表

Wed, 01 Jul 2026 00:00:00 GMT

逆向分析中，识别"这段数据是什么算法的产物"是第一块拼图。方法就三招：看长度、看字符集、用已知输入验证。本文给一张速查表加一段验证代码，把识别时间压到分钟级。

第一步：看长度与字符集

输出特征	候选算法	备注
32 hex	MD5	空串结果 `d41d8cd9...8427e`
40 hex	SHA-1	空串 `da39a3ee5e6b4b0d3255bfef95601890afd80709`
64 hex	SHA-256	空串 `e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855`
128 hex	SHA-512	空串 `cf83e135...`
`A-Za-z0-9+/=`	Base64	末尾 `=` 是填充标志
`A-Za-z0-9`（无 `+/=`，无 `0OlI`）	Base58	比特币地址常用
纯数字	纯数字编码/自研	常见于业务混淆 ID
高熵二进制	加密/压缩	需结合代码特征判断

第二步：用已知输入验证

记住四个"指纹值"，验证标准哈希只需一行：

import hashlib

known = {
    "md5":    "d41d8cd98f00b204e9800998ecf8427e",
    "sha1":   "da39a3ee5e6b4b0d3255bfef95601890afd80709",
    "sha256": "e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855",
}

def identify(digest: str) -> str | None:
    d = digest.lower()
    for name, empty in known.items():
        if hashlib.new(name, b"").hexdigest() == empty and len(d) == len(empty):
            return name
    return "unknown（可能加盐/魔改/截断）"

对不上指纹值不一定是"不是这个算法"——加盐或魔改会让空串指纹失效，这时转入第三步。

第三步：进代码找结构特征

数据层面区分不了加密算法，要进代码看常量：

AES   : S-box 以 0x63, 0x7c, 0x77, 0x7b... 开头；轮常量 0x01, 0x02, 0x04...
DES   : 初始置换表 IP[58, 50, 42, ...]；16 轮迭代
RC4   : 256 长度状态盒 + KSA/PRGA 双循环，无魔数常量
RSA   : 大数运算 + e 常见取值 0x10001 (65537)
CRC32 : 查表法 0xEDB88320（反射）或 0x04C11DB7（正向）

IDA/Ghidra 里全局搜索这些字节序列，命中即有答案。Standard Hash 的魔数（MD5 的 0x67452301、SHA-1 的 0x5A827999）也适用于定位哈希函数位置。

常见陷阱

长度对上就下结论——32 hex 也可能是两次 MD5 套接或加盐 MD5，必须动态验证；
忽略编码嵌套——Base64(Hex(MD5(x))) 三层嵌套很常见，逐层解到指纹值为止；
把压缩当加密——zlib/gzip 头分别是 78 9C 和 1F 8B，先解压再分析。

识别只是起点，数据流追踪与算法还原的完整路径见逆向方法论；Frida 动态验证手段见 Frida Hook 三个层次。