Heretek-RE/RE-BREAKER
GitHub: Heretek-RE/RE-BREAKER
RE-BREAKER 是一个面向授权逆向工程的攻击研究工具包，用于绕过二进制文件上的反逆向保护机制并提取加密代码。
Stars: 1 | Forks: 1
# RE-BREAKER
RE-BREAKER 构建于 [RE-AI v2.9.2](https://github.com/Heretek-RE/RE-AI/)（包含分析器 + 指纹识别工具 + IL 提取器）之上，并添加了 RE-AI 宪章所禁止的显式 **bypass 原语**。如果你需要从你有权进行逆向工程 (RE) 的二进制文件中提取加密的方法体，这就是你要的工具。如果你试图盗版软件，请另寻他处 —— 这不是为你准备的，且由此产生的法律责任将由你自己承担。
## 宗旨
这是一个用于 **防御与攻击研究** 的工具包。目标用户包括：
- 逆向工程顾问（持有针对目标二进制文件的已签署委托书）
- 恶意软件分析师（获得授权分析恶意软件样本）
- 蓝队 / 紫队人员（分析检测规则及工具）
- 安全研究员（在负责任披露原则下发布成果）
- 学术 RE 实验室（同行评审研究）
超出范围的使用（`LICENSE-OFFENSIVE.md` 条款明确禁止）：
- 盗版商业软件
- 绕过 DRM 免费访问内容
- 未经授权访问分析师不拥有的系统
- 任何违反操作员所在管辖区法律的使用行为
如果你接受 `re-dump` CLI 的 `--license-acknowledge` 参数所要求的条件，那么你的操作就符合本宗旨。如果不接受，CLI 将拒绝运行。
## 与其他代码库的关系
| 代码库 | 宗旨 | 许可证 | 功能说明 |
|---|---|---|---|
| [RE-AI](https://github.com/Heretek-RE/RE-AI/) | 识别、提取、指纹识别 | MIT | 静态分析基础。包含 31 个 MCP 服务器 + 29 项技能。发布的内容保持供应商中立。 |
| [RE-Library](https://github.com/Heretek-RE/RE-Library/) | RE 技术公开文档 | MIT | 12 分类的 Astro 站点 + PyPI MCP 服务器。仅在 `drm/` 中包含 DRM 系统名称。 |
| [RE-UNLEASHED](https://github.com/Heretek-RE/RE-Library/#engines-storefronts-protection) | 仅供引用的供应商归属 | MIT | 按发行商 / 引擎 / 保护机制分类的文档树。指名供应商但内部规范禁止包含源码。 |
| **RE-BREAKER**（本仓库） | 攻击研究：绕过 | AGPL-3.0 + 攻击性研究使用条款 | 全新的绕过工具集。分层注入工具。防御者与攻击者合并的技术目录。 |
自 v0.4.0 版本起，RE-BREAKER **完全自包含**：它不再要求将 RE-AI 作为同级目录检出。RE-BREAKER 所依赖的 RE-AI 代码（PE 解析、反分析关联、Speakeasy 仿真、rizin、YARA、capa、PDB）已被存放于 `vendored/re-ai/` 目录下。完整布局请参阅 `docs/ARCHITECTURE.md`。
## v0.4.0 版本发布内容
- `servers/` 中的 **15 个 MCP 服务器**（v0.3.0 中为 12 个；v0.4.0 新增 3 个）：
- v0.3.0 中的 12 个：`re-triage`, `re-il2cpp-triage`, `re-catalog-match`, `re-anti-debug-patch`, `re-patch-apply`, `re-runtime-dump`, `re-encrypted-vm-bypass`, `re-vm-decrypt`, `re-frida-runtime`, `re-c-injection-build`, `re-anti-vm-spoof`, `re-vendor-anti-tamper`
- **新增 `re-frida-wine-runtime`** — 进程内 frida-gadget 注入（该主机上已知唯一可用的 Frida 路径）。包含 6 个工具 + 6 个按 Pattern 划分的 hook 模板。
- **新增 `re-injection-runtime`** — C-injection 运行时（不使用 Frida）。包含 4 个工具 + 4 个按 hook 划分的 C 源码规范。
- **新增 `re-winedbg`** — Wine + winedbg + gdb + GEF 封装。共 30 个工具（核心 10 个已实现；GEF 及便捷工具为存根）。
- `skills/` 中的 **19 项技能**（按 Pattern 和按供应商划分的 bypass 手册；在 v0.4.0 中未更改）
- `vendored/re-ai/servers/` 下的 **8 个内置 RE-AI 服务器**（库代码；不作为 MCP 暴露）：
- `re-lief`, `re-patch`, `re-anti-analysis`, `re-speakeasy`, `re-rizin`, `re-yara`, `re-capa`, `re-pdb`
- `Vendored RE-AI catalog data and triage outputs.` 处的 **7 个内置 honest-read 分类 JSON**
- 防御者与攻击者合并的技术目录（`data/catalog.json`，59 条目 — v0.4.0 新增：entitlement 家族）
- 目录的 YARA 导出文件（`data/yara/techniques.yar`）
- 7 个攻击模式手册（`docs/PLAYBOOKS/`）
- C/C++ 进程内 DLL/SO 注入器（`inject/src/`）
- 共享的 `src/re_breaker/triage.py` 助手脚本（替代了 7 个几乎完全相同的 `_load_triage()` 函数）
- `LICENSE-OFFENSIVE.md` 条款文档
- 新增的 `docs/ARCHITECTURE.md` 和 `docs/WINE.md`
**v0.4.0 中的关键错误修复**：
- A1：`re-patch-apply` 不再静默返回 `sites_patched: 0`
- A2：`re-c-injection-build` 现在可以同时构建 `.so` 和 `.dll`（之前 `.dll` 构建在 POSIX `mkdir(path, 0755)` 上会失败）
- B1：`re-catalog-match` 不再对 IL2CPP 目标返回 0 个匹配项（平铺了嵌套的 `{launcher_*, GameAssembly_dll}.{RDTSC, ...}` 结构）
- B2：仅规划型服务器（`re-anti-debug-patch`, `re-vm-decrypt`, `re-anti-vm-spoof`, `re-runtime-dump`）不再报错 "no triage.json found"
## 快速入门
```
git clone https://github.com/Heretek-RE/RE-BREAKER.git
cd RE-BREAKER
python -m venv .venv-re-breaker
source .venv-re-breaker/bin/activate
pip install -e .
# 阅读 offensive-research-use 条款（首次运行前必读）
cat LICENSE-OFFENSIVE.md
# 在目标上运行 catalog matcher
re-catalog-match --target=/path/to/foo.exe --intent=both
# 运行 tiered injection CLI
re-dump --target=/path/to/foo.exe --mode=emulator --output=/tmp/dump/ --license-acknowledge
```
## 许可证
- 代码使用 **AGPL-3.0-or-later**（见 `LICENSE`）。
- **攻击性研究使用条款** 作为单独的 `LICENSE-OFFENSIVE.md`，CLI 在首次运行时会 `cat` 输出该文件，并要求明确确认。
- 根据仅供引用的契约（继承自 RE-UNLEASHED），不包含任何第三方源码，即使上游许可证允许也是如此。
## v0.4.1+
绕过工具集强化及运行时执行修复。详情请参阅 `CHANGELOG.md` 或 git log。
## 路线图
- 按 Pattern 划分的 bypass 编排器
- 按供应商划分的 bypass 技能达到生产级覆盖率
- 额外的运行时执行路径（Speakeasy 仿真器、Frida attach、C-injection）
标签：UML, 逆向工具