在授权分析中识别与绕过反逆向保护（反调试/混淆/加壳）

当你需要在合法安全场景（CTF、授权渗透、恶意软件分析、自有软件研究）中识别并绕过二进制里的反调试、混淆或加壳保护时使用。

适用场景

解决思路

1. 先确认授权：获得软件所有者的明确书面许可，或处于合法安全场景（CTF、授权渗透测试、恶意软件分析、安全研究）。
2. 明确并记录活动范围，确保落在授权定义的范围之内。
3. 了解法律合规要求：未经授权绕过软件保护可能违反 CFAA、DMCA 反规避条款等法律。
4. 提供待分析的二进制路径或样本（可执行文件、DLL 或固件镜像）。
5. 指明平台（Windows x86/x64、Linux、macOS、ARM），以确定适用的检查项。
6. 明确目标：为动态分析做绕过、识别保护类型、构建检测代码，或为 CTF 实现保护。
7. 产出保护识别结果：给出技术名称（如 RDTSC 计时检查、PEB BeingDebugged）及其在二进制中的位置。
8. 产出绕过策略：给出具体补丁地址、hook 点或工具命令，以中和每一项检查。
9. 产出分析报告：结构化列出每一层保护、严重程度和推荐绕过方式。
10. 产出代码工件：用于绕过或实现检查的 Python/IDAPython 脚本、GDB 命令序列或 C stub。
11. 遇到 x86 与 ARM 差异时：RDTSC 和 CPUID 仅限 x86；ARM 上改用 MRS x0, PMCCNTR_EL0（需内核 PMU 访问）或 clock_gettime(CLOCK_MONOTONIC)。
12. ARM 上不存在 PEB/TEB，改用 /proc/self/status（Linux）或 task_info（macOS），并用平台特定 API 重建检测逻辑。
13. 应对合法调试器或分析工具误报：启动时校准阈值，对受保护路径测量 3 次并使用 mean + 3*stddev。
14. 对 ptrace 检查，退出前通过 /proc/<pid>/comm 验证 TracerPid 的进程名，它可能是无关的监控工具而非调试器。
15. 绕过补丁导致崩溃而非继续执行时：在 NOP 掉条件跳转前，完整跟踪“已检测”分支；若它初始化或释放了后续需要的堆状态，改补丁比较操作数为预期的“干净”值，或在 x64dbg 中对断点使用 Set condition to always false，而不是修改字节。
16. 需要更深入的模式与示例时，阅读 references/details.md；高级技术见 references/advanced-techniques.md。

适用边界 · 注意事项

• 未获得软件所有者明确书面许可，或不在合法安全场景（CTF、授权渗透、恶意软件分析、安全研究）中时。
• 活动超出授权定义的范围时。
• 可能违反 CFAA、DMCA 反规避条款等法律时。