逆向工程平台 REA 能力边界速查.hop 数据库、Windows Ghidra P0 与 16 位 DOS MZ 怎么选【免费下载链接】reaReverse engineer anything with agents, from app behavior down to native binaries.项目地址: https://gitcode.com/GitHub_Trending/rea2/reaREA 是 AI Agent 驱动的逆向工程平台分析范围从应用行为延伸到原生二进制。它不内置反编译器而是调度你已安装的 Hopper、Ghidra 等分析器。本文讲清三条能力线——.hop数据库、WindowsGhidra P0 只读、16 位 DOS MZ/COM 逆向——回答你的目标能不能分析、走哪条通道、红线在哪里。一、三条分析能力线全景能力线覆盖目标一句话定位Hopper 线macOS / LinuxMach-O、ELF、.hop数据库桌面端日常分析的主力通道Ghidra P0 线Windows原生 x86 / x86-64 PE实验性P0 只读边界25 个只读操作Ghidra DOS 线16 位 MZ / COM 遗存程序纯静态反汇编与反编译二、架构前提自带分析器选定即锁定REA 的架构是 bring-your-own-provider它本身不含任何反编译引擎更像一位总调度——分析任务一律外聘给你机器上已安装的 Hopper 或 GhidraAgent 只负责下达任务、读取结果。一条铁律Provider 一经选定系统绝不自动回退。失败会直接暴露而不是换一家分析器再试、给你看起来成功了的假象。三、三条能力线边界拆解3.1.hop数据库线Hopper 专属结论.hop只进 HopperGhidra 不会打开用户项目。维度规则✅ 支持按扩展名归类为analysis-database仅 Hopper 适配器接受❌ 不支持Ghidra 打开Windows 平台无 Hopper 通道.hop走不通 前提本机装有 Hopper数据库由 Provider 私有管理领域层不关心其内部格式3.2 Windows Ghidra P0 线实验性只读边界结论状态为实验性 Windows x64仅提供P0 只读分析面不做写入。维度规则✅ 支持Windows 10 x64、本地 NTFS 固定路径原生、非托管、非 DLL 的 x86 / x86-64 PE25 个只读的清单、内存与函数分析操作❌ 不支持Ghidra GUI 状态与注释其他架构与格式托管 PE/CLI走独立免执行 ProviderHopper 专有操作镜像加载检查目前仅独立支持 DOS MZ 格式验证 前提Ghidra 12.1.x验证过 12.1.4 JDK 21 及以上 64 位完整 JDK冷启动导入可能超过 330 秒验证通道允许其完整跑完安全上无需手动配置任何权限打包的 Windows 原生控件自动启用——私有 DACL 会话目录、127.0.0.1 回环 256 位 bearer token 的认证传输、Job Object 托管 Ghidra 子进程。3.3 DOS MZ/COM 线Ghidra 静态通道结论由 GhidraMzLoader完成语言固定x86:LE:16:Real Mode加载段固定0x1000。维度规则✅ 支持MZ 可执行文件自动识别校验页计数、重定位表、入口点.com无头文件显式指定--target-format dos-com❌ 不支持NE / LE / LX 格式明确不支持纯静态反编译与反汇编不模拟 BIOS、DOS 中断与设备端口Hopper 无 DOS MZ 支持 前提.com仅凭后缀不够文件大小必须落在 1~65280 字节损坏的 Windows 头不会悄悄变成 DOS四、按文件类型选择分析通道三步判断看扩展名——.hop直接进 Hopper 线仅限 macOS / LinuxWindows 无 Hopper 通道。看宿主——Windows 上的原生 PE.exe进 Ghidra P0 只读线。看年代——16 位 DOS 遗存.exe/.com进 Ghidra DOS 通道.com记得显式传--target-format dos-com。选型口诀数据库认 Hopper原生 PE 认 Ghidra P0DOS 遗存认 Ghidra DOS 通道。常用入口rea inspect打开目标rea function/rea instructions做函数级反汇编rea read-bytes/rea address-to-file-offset读字节与地址换算rea inspect-native-load-image独立验证加载镜像结果分verified/mismatch/unsupported三态。五、避坑清单高频边界问题⚠️冷启动Windows Ghidra 冷启动导入可能超过 330 秒验证通道会完整跑完客户端默认超时若短于该值会误判失败。⚠️线性地址DOS 线函数 body 证据中的地址是线性加载地址segment * 16 offset不是文件偏移也不是真实 DOS 系统观察换算文件偏移必须走rea address-to-file-offset。⚠️.com格式必须显式传--target-format dos-com.com后缀本身不构成识别依据大小还须落在 1~65280 字节区间。⚠️静默降级损坏的 Windows 头不会悄悄变成 DOS——NE / LE / LX 声明被显式拒绝格式判定失败就是失败。三态结果rea inspect-native-load-image返回verified/mismatch/unsupportedPE 在 P0 边界下会得到明确的unsupported证明而不是报错。快速结论.hop进 HopperWindows 原生 PE 进 Ghidra P0 只读16 位 DOS 遗存进 Ghidra DOS 通道——三条线互不越界选定绝不回退。延伸阅读docs/ghidra-dos.mddocs/windows-ghidra-p0.mdsrc/application/BinaryTargetResolver.ts【免费下载链接】reaReverse engineer anything with agents, from app behavior down to native binaries.项目地址: https://gitcode.com/GitHub_Trending/rea2/rea创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考