搭建逆向工程工作室：REA、oracle 与清洁室闭环

本页是运维／工具指南，说明如何组装一座逆向工程工作室：一个面向智能体的 MCP 分析核心（morluto/rea）、一圈开源引擎与桥接、三类 oracle（决定何为真），以及双室清洁室闭环（A 室只写 SPEC.md；B 室只从墙后实现）。不是破解教程，不是利用 PoC，也不是对未拥有／无书面授权软件动手的许可（/zh/compliance/、/zh/faq/legal-boundary/）。

英文孪生：/blog/rea-reverse-engineering-studio/。尚未接触 REA？先看 /zh/blog/rea-beginner-guide/、安装演示 /zh/docs/install-demo/，再看可视化工作台 /zh/blog/eleven-rea-workbench/。本站教学钉版：[email protected]（/zh/blog/rea-agents-6-5-0/）——教学实验室不要默认浮动 latest。

为何要「工作室」而不是单一工具

真实逆向跨越格式（PE／ELF／Mach-O、APK／DEX、.NET、JS／Electron）、表面（静态、动态、网络）与验证（重建 + oracle）。一个 GUI 覆盖不了所有车道。工作室是刻意选好的栈：

星标是人气快照，不是 doctor 绿灯证明，也不是法律护身符（/zh/blog/evaluating-rea-claims/）。

分类对照表（GitHub API 快照 2026-10-18）

下表星标于 2026-10-18（Asia/Shanghai／UTC+8）用 gh api repos/OWNER/REPO --jq .stargazers_count 重抓。引用前请重抓；数字会漂。

01 — 分析核心

REA 不附带 Ghidra 或 IDA。setup 注册 MCP，可能在批准后协助 Hopper；Ghidra／IDA 仍自备（/zh/faq/setup-vs-providers/）。上游快速开始：npx rea-agents setup（morluto/rea README）。在 rea.run 钉教学等价命令：npx -y [email protected] setup。

02 — 移动与应用

03 — 二进制与底层

04 — 网络与运行时

05 — 重建与验证（地图 + 闭环）

三类 oracle

Oracle 是把重建与你信任的参照对照的任何检查。模型提议；oracle 裁决。工作室教学用三类：

尽量自动化最强的 oracle。字节抓指令漂移；行为抓 API 契约；运行时抓集成缺口。许多工作室任务会组合两类以上。

也要测 oracle（TH08 课）

弱比较可以在指令字节通过的同时，浮点常量错误。公开的 TH08 线重建记述里，某辅助函数已通过精确指令字节比较，却在下游失败：重建用 0.0 检查玩家火力，原件用 128.0（满火力阈值）。比较器在比指令前会重映射地址（重建可能把常量放别处），却从未检查该地址上的浮点值。指令字节匹配；含义不匹配。修好比较后审计浮点字面量引用，又挖出更多已被弱 oracle「接受」的错误常量。

习惯： 在相信绿灯之前，植入 三个必须失败 的变体。任一植入失败却通过，说明 oracle 坏了——此前所有绿灯都可疑。

植入失败清单

• [ ] 改一个常量（如阈值 128.0 → 0.0，或比例 100 → 10）。
• [ ] 交换一个分支（真／假臂、×÷ 与 +− 百分规则、提前返回极性）。
• [ ] 差一边界（含／不含边、length−1、循环上限）。
• [ ] 对每个植入变体跑 oracle → 三个都必须失败。
• [ ] 任一植入变体通过 → 先修 oracle，再重审先前接受项。
• [ ] 把三个变体 + oracle 命令记入 NOTES.md／CI，使检查可重复。

本清单不含利用或破解步骤——只是对自有／授权夹具上验证 harness 的自测。

双室清洁室（SPEC.md 是墙）

经典清洁室，由智能体运转：

binary（已授权）→ A 室（REA + Evidence）→ SPEC.md（墙）→ B 室（重建）→ oracle（+ 植入失败）→ retry

可复制提示模板（钉 6.5.0）

安装（教学钉版——不要浮动 latest）：

用 npx -y [email protected] setup 安装并连接 REA 到本编码智能体。
先展示 setup 计划供批准，然后用以下命令验证：
npx -y [email protected] doctor --json

A 室 — 阅读者：

用 REA 调查 [已授权应用] 中 [功能] 如何工作。
每条主张标注 observation／inference／unknown，并引用 Evidence。
然后写 SPEC.md：行为、输入、输出、边界情况与未决未知。
只描述做什么。不要代码、不要地址、不要原件名称或资产。

B 室 — 建造者：

仅根据 SPEC.md 在 ./my-version 中实现 [功能]。
按规格中的行为写测试并运行。
不要打开原二进制、反编译或 A 室笔记。

目标形停止条件（按你的智能体 goal 工具改写）：

/goal SPEC.md 中每个用例在 ./my-version 通过，oracle 拒绝全部 3 个植入失败，
且未改动 ./my-version 以外的文件。或在 25 轮后停止。

植入失败：

在 ./oracle-tests 下加入三个故意错误的实现变体：改一个常量、
交换一个分支、把一个边界偏移一。对每个跑 oracle，确认三个都被拒绝。
任一通过则先修 oracle。

NOTES.md 收尾（工厂记忆）：

结束本会话前，更新 NOTES.md：已确认什么、仍未知什么、已有哪些检查、
下一步实验是什么。并提交。

清洁室闭环清单

• [ ] 范围门： 自有／书面授权／开源／清洁室夹具（/zh/compliance/、/zh/faq/legal-boundary/）。
• [ ] 隔离： 一次性副本；永不覆盖唯一生产制品。
• [ ] REA 遍： 钉 npx -y [email protected]；doctor --json；要 Evidence——不要气氛。
• [ ] SPEC.md 墙： 可观察行为 + IO + 边界 + 显式未知；无代码／地址／原名资产。
• [ ] B 室重建： 干净树；仅 SPEC。
• [ ] Oracle + 植入失败： 可度量通过／失败；三个必须失败变体被拒绝。
• [ ] Retry： 把差异喂回 A 室／SPEC；不编造未知。
• [ ] 停止规则： 记录缺口——不编 CVE 链、密钥或 DRM 绕过。

教学示例：/zh/showcase/dx-ball/ · /zh/blog/rea-beginner-guide/。

清洁室 vs「反编译了某套件」神话

常见说法称热门清洁室应用是靠「反编译厂商套件」做成的。有用的规则恰恰相反：观察行为 + 公开规格；禁止阅读厂商应用包。 理解 ≠ 拿走。

公开规则示例：FilmCraft AGENTS.md（§2 Clean-room code：永不阅读／反汇编／复制 Adobe 应用包；通过使用应用观察行为；编解码按公开规格）。ArtCraft 家族应用同精神——行为与公开格式，不是厂商包内脏。教学时链到这些 AGENTS／README；不要把社交主张当「偷包」证据。

边界（REA 免责声明 ↔ 模型）

REA 自身免责声明框定允许的研究／教育／互操作／保存／审计你有权检查的软件——并禁止绕 DRM／反作弊、复制专有受保护代码与资产等滥用。模型可能对越界任务拒绝或改派；这是预期，不是安装坏了。

站内页：/zh/compliance/ · /zh/faq/legal-boundary/。智能体输出不是对原程序、其数据或其名称的许可。

最小启动路径 + doctor 加深

上游 Quick start 写的是 npx rea-agents setup。rea.run 教学等价——一律钉 6.5.0，除非发行说明另有强制：

# Node.js 22.x（>=22.19）、24.x（>=24.11）或 26+（见上游 README）
npx -y [email protected] setup
npx -y [email protected] doctor --json
# 批准 MCP 注册后重启智能体

# 可选：按客户端范围的 doctor（示例客户端 id——换成你的）
npx -y [email protected] doctor --client claude_code --json

# 可选：原生车道——自备 Ghidra 12.x + 64 位 JDK 21+
export GHIDRA_INSTALL_DIR=/absolute/path/to/ghidra_12.1.4_PUBLIC
export JAVA_HOME=/absolute/path/to/jdk-21
npx -y [email protected] doctor --provider ghidra --json

安装界面演示：/zh/docs/install-demo/。版本说明：/zh/blog/rea-agents-6-5-0/。Ghidra／IDA 仍自备（/zh/faq/setup-vs-providers/）。

建议的工作室布局（选一种开干）

可选 GUI 伴侣：/zh/blog/eleven-rea-workbench/——围绕引擎的可视化 IDE；仍仅限授权目标。

常见坑

如何嵌入 rea.run 教学路径

1. 词汇 + Evidence：/zh/blog/rea-beginner-guide/
2. 钉 6.5.0：/zh/blog/rea-agents-6-5-0/
3. 安装演示：/zh/docs/install-demo/
4. 可选 GUI：/zh/blog/eleven-rea-workbench/
5. 本页：工作室环 + oracle + 双室清洁室
6. 练习：/zh/lab/ · /zh/showcase/dx-ball/

合规

• 仅分析你拥有、有书面授权、可学习的开源，或清洁室教学夹具。
• 本页无破解、keygen、绕 DRM、利用 PoC 内容。
• 商业引擎（IDA、Hopper、JEB 等）仍按厂商许可自备；REA 不授予许可密钥。
• 星标与 awesome 列表位置 ≠ 许可。
• 清洁室 = 行为 + 公开规格；不是阅读厂商应用包。
• rea.run 是社区运维指南；既有页脚说明保持低调——不加新的显眼横幅。
• /media/blog/rea-reverse-engineering-studio/ 下媒体为本文托管（工作室演示视频 + 封面静帧）。

来源

• REA：morluto/rea（README Quick start；本站钉 [email protected]；DISCLAIMER）
• REA 作者公开 awesome 列表：morluto/awesome-reverse-engineering（765★，2026-10-18）
• AI×RE 分级地图：zhuyansen/awesome-ai-reverse-engineering（8★；抓取日 README 119 条分级仓库）
• 清洁室 AGENTS 示例：storytold/filmcraft AGENTS.md
• 上表引擎／桥接仓库（GitHub API 星标 2026-10-18）
• 站内：/zh/blog/rea-beginner-guide/ · /zh/blog/eleven-rea-workbench/ · /zh/docs/install-demo/ · /zh/showcase/dx-ball/ · /zh/compliance/ · /zh/faq/legal-boundary/ · /blog/rea-reverse-engineering-studio/

问答