一、二进制分析概述

什么是二进制分析

二进制分析，说白了就是直接跟机器码打交道。

我们平时写代码，用的是C、Python、Java这些高级语言。但计算机最终执行的，是一串串的0和1。二进制分析要做的，就是把这些0和1还原成我们能理解的信息——函数调用、数据结构、控制流，甚至原始的逻辑。

我个人习惯把二进制分析分成两类：

• 静态分析——不运行程序，直接看二进制文件。反汇编、反编译、模式匹配，都属于这一类。
• 动态分析——让程序跑起来，观察它的行为。调试、跟踪、插桩，都是动态分析的手段。

你想想看，一个可执行文件摆在你面前，没有源码，没有文档。你怎么知道它干了什么？这就是二进制分析要解决的问题。

二进制分析的应用场景

我做了十几年二进制安全，接触过的场景五花八门。但归纳起来，无非三大类：

漏洞挖掘

这是我最常干的事。没有源码，怎么找漏洞？

举个例子。我曾经分析过一个闭源的网络协议栈，二进制文件有20多MB。用静态分析工具跑一遍，发现了一个可疑的memcpy调用——源地址和目的地址有重叠。嗯，典型的缓冲区溢出。

漏洞挖掘常用的方法：

• 模糊测试（Fuzzing）——往程序里塞各种畸形数据，看它会不会崩溃
• 符号执行——把程序路径抽象成数学公式，求解出触发特定条件的输入
• 污点分析——追踪用户输入的数据流向，看它有没有被不安全地使用

这些技术，都离不开二进制分析打底。

恶意软件分析

病毒、木马、勒索软件——这些家伙不会给你源码的。

我记得有一次，一个客户拿了个样本过来，说杀毒软件全报毒，但不知道具体干了什么。我打开IDA一看，好家伙，代码被混淆得一塌糊涂。函数名全是乱码，控制流像意大利面条。

但二进制分析就是干这个的。静态分析拆解结构，动态分析观察行为。最终我们发现，这个样本会hook系统API，拦截键盘输入，然后加密发送到境外服务器。

恶意软件分析的核心问题就三个：

• 它从哪里来？
• 它做了什么？
• 它留下了什么后门？

答案都在二进制里。

软件逆向

这个范围就广了。协议逆向、算法还原、兼容性分析……

我曾经帮一个团队逆向过某工业控制软件的通信协议。对方只给了DLL文件，没有文档。我们花了三周时间，用二进制分析把协议格式、加密算法、校验逻辑全扒了出来。

软件逆向的典型场景：

• 分析竞争对手的产品功能
• 恢复丢失源码的遗留系统
• 理解第三方库的行为

传统二进制分析的痛点

说了这么多好处，也该泼泼冷水了。传统二进制分析，问题一大堆。

高人力成本

培养一个合格的二进制分析师，至少需要两到三年。你得懂汇编、懂操作系统、懂编译原理、懂各种逆向工具。

我见过太多团队，花大价钱招了人，结果半年下来，连一个像样的分析报告都出不来。不是人不行，是这行门槛确实高。

而且，二进制分析是个体力活。一个中等规模的可执行文件，函数数量可能上万。人工一个个看，眼睛都要瞎。

依赖专家经验

这个领域，经验就是生产力。

举个例子。一个经验丰富的分析师，看到某个特定的指令序列，马上就能判断出这是编译器生成的边界检查代码。新手可能得翻半天手册。

我曾经带过一个新人，他花了一整天分析一个函数，最后发现只是个简单的字符串拷贝。我扫了一眼，三秒钟就认出来了——那个模式我见过几百次了。

问题在于，这种经验没法批量复制。每个分析师都得靠时间堆出来。

面对混淆代码乏力

这是最头疼的问题。

恶意软件作者不傻，他们知道我们在分析他们。所以他们会用各种手段让分析变得困难：

• 控制流平坦化——把正常的控制流打散，变成一张巨大的状态机
• 虚假控制流——插入大量永远不会执行的分支，混淆分析工具
• 代码自修改——运行时动态生成代码，静态分析根本看不到
• 虚拟机保护——把原始代码翻译成自定义的字节码，用解释器执行

为什么会这样？因为传统二进制分析依赖的是规则和模式。混淆技术就是专门破坏这些规则和模式的。

你写一个规则说「看到memcpy就要检查参数」，混淆器就把memcpy拆成几十条指令，让你根本认不出来。

说白了，这是一场猫鼠游戏。而且很多时候，老鼠比猫聪明。

本章知识体系

下面这张图，概括了二进制分析的完整知识结构：

这张图把二进制分析的完整脉络串起来了。从核心概念出发，分静态和动态两条路，延伸到四大应用场景，再落到具体技术，最后指向我们面临的痛点。

而右下角那个绿色的节点，就是本课程要讲的核心——大模型怎么帮我们解决这些痛点。

后面的章节，我会一步步展开。

---