PE 逆向技术库

Windows PE/二进制逆向技术库。覆盖 triage、静态/动态分析、脱壳、IOC、检测规则、Patch 与许可证/keygen。

完整目录（10 类 / 49 篇）

07-yara-sigma — YARA/Sigma（1）

07-yara-sigma/01-yara-rule-writing.md — YARA 规则编写（逆向视角）

08-patch — Patch（2）

08-patch/01-code-patching-defense.md — 代码篡改防护与 PE 节区完整性自检
08-patch/01-code-patching.md — 代码 Patch 与字节修改

09-av-evasion — 规避与检测（2）

09-av-evasion/01-ai-powered-evasion.md — AI 驱动免杀：Shellcode 处理 + Loader 编写
09-av-evasion/01-evasion-indicator-detection.md — 规避与混淆特征静态识别（Shellcode / Syscall / 反沙箱）

10-license-keygen — 许可证与 keygen（14）

10-license-keygen/01-license-mechanism-classification-defense.md — 商业软件授权架构纵深防御选型
10-license-keygen/01-license-mechanism-classification.md — 许可证机制分类与攻击路径选择
10-license-keygen/02-validation-function-location-defense.md — 授权校验逻辑隐匿与抗静态/动态定位加固
10-license-keygen/02-validation-function-location.md — 许可证校验函数定位
10-license-keygen/03-key-algorithm-recovery-defense.md — 注册码算法加固与防 Keygen 密码学设计
10-license-keygen/03-key-algorithm-recovery.md — 注册码算法还原与 keygen 复现
10-license-keygen/04-signature-chain-pubkey-swap-defense.md — 签名链信任锚保护与抗公钥替换加固
10-license-keygen/04-signature-chain-pubkey-swap.md — 签名链校验与公钥替换攻击
10-license-keygen/05-keygen-frida-verification-loop-defense.md — 进程内 Hook 替换、标志位篡改与本地配置伪造防护
10-license-keygen/05-keygen-frida-verification-loop.md — keygen 实机验证闭环（Frida 进程内替换）
10-license-keygen/06-cloud-license-frida-hook-defense.md — 云端授权查询面防 Hook 与本地状态/试用重置防御
10-license-keygen/06-cloud-license-frida-hook.md — 云端授权识别与 Frida hook 替代路径
10-license-keygen/07-self-referencing-signature-convergence-defense.md — 自引用切片漏洞根治与抗迭代收敛签名架构
10-license-keygen/07-self-referencing-signature-convergence.md — 自引用签名嵌入与单步迭代收敛

文档质量基线

每篇正文必须包含：H1 标题、可运行示例、工作流/攻击链、证据与验证闭环、MCP 工具映射，并且本地 Markdown 链接必须可解析。

实战写法

每篇文章按“入口信号 → 静态定位 → 动态断点/Hook → dump/patch/IOC → 复验 → Evidence → MCP 工具映射”组织。正文优先给出 DiE、PE header、imports、strings、Ghidra 函数、x64dbg 断点、Procmon 过滤器和 Frida 输出。

记录证据时写哈希、文件偏移、VA/RVA、节区、API、字符串、断点命中、寄存器/栈参数、dump 路径、原始字节/新字节、行为差异。文章结尾要落到下一跳：继续脱壳、还原算法、生成 patch、提取 IOC/YARA/Sigma 或回到 Ghidra 重命名函数。

powershell

python scripts/misc/kb_doc_audit.py

标准工作流

text

Hash/类型/保护 → Ghidra 静态分析 → x64dbg/Frida/Procmon 验证 → IOC/YARA/Sigma → Patch 副本

PE 逆向技术库 ​

完整目录（10 类 / 49 篇） ​

01-triage — 初筛（1） ​

02-pe-structure — PE 结构（2） ​

03-static-analysis — 静态分析（6） ​

04-dynamic-analysis — 动态分析（16） ​

05-crypto-unpack — 加密/脱壳（3） ​

06-ioc-extraction — IOC 提取（2） ​

07-yara-sigma — YARA/Sigma（1） ​

08-patch — Patch（2） ​

09-av-evasion — 规避与检测（2） ​

10-license-keygen — 许可证与 keygen（14） ​

文档质量基线 ​

实战写法 ​

标准工作流 ​

PE 逆向技术库

完整目录（10 类 / 49 篇）

01-triage — 初筛（1）

02-pe-structure — PE 结构（2）

03-static-analysis — 静态分析（6）

04-dynamic-analysis — 动态分析（16）

05-crypto-unpack — 加密/脱壳（3）

06-ioc-extraction — IOC 提取（2）