需求是三句话，难点只在第三句 让 AI 重做博客标签的配色，我给的要求是三条： 每个标签颜色不同，要五颜六色； 颜色由标签自己的值决定 —— 同一个标签文字，在任何页面必须是同一个颜色； 标签后面的数字（该标签下的文章数）越大，越要吸引人。 做完是这个样子 —— 逆向（12 篇）顶格，TOC、火绒剑 那批 1 篇的几乎融进盘子里： 前两条一句话就能实现：拿标签文字做一次哈希，映射到色相环上就完事。真正要想的是第三条 —— “越吸引人"到底是颜色的哪个值？ ...
lp-toys 这个仓装了两个说不清用途的小东西： 鼠标跟随.e 7,211 字节 2016-04-07 用热键来整人.e 7,998 字节 2017-12-10 两个都没有编入第三方模块，扫描产出分别是 66 条和 32 条。小到不需要任何筛选技巧 —— 直接全贴出来读。方法本身在旗舰篇，这篇原来的重点是这套方法的天花板在哪。 写完之后我拿另一条路把这个天花板往上顶了一格（第三节），所以这篇现在有两部分：前面是字节扫描看到的清单，后面是同一份容器用反编译器解出来的真源码。中间那段"读不出来"的结论被推翻了，我没删，原样留着对照 —— 顺带把第一次写错的一处（C:\1.exe）也标出来。 一、鼠标跟随.e：清单就把意图说完了 480 _启动窗口 493 在程序启动后自动调入本窗口 818 时钟1 930 按钮3 1042 停止跟随 1078 按钮2 1190 开始跟随 1226 按钮1 1338 添加图片 1374 通用对话框1 1540 图片格式(*.JPG;*.GMP) 1605 动画框1 1769 图片1 1985 系统核心支持库 2009 扩展界面支持库二 2111 多线程支持库 2223 窗口程序集1 2297 图片 2379 __启动窗口_尺寸被改变 3199 _按钮1_被单击 3915 _按钮2_被单击 4040 _按钮3_被单击 4165 线程 5042 _动画框1_动画框鼠标位置改变 5124 横坐标 5143 纵坐标 5162 已被按下物体 5817 _时钟1_周期事件 5961 图片组 6087 路径 6125 执行图片 6150 标识值 6169 鼠标水平位置 6194 鼠标垂直位置 6219 鼠标横类型 6242 鼠标纵类型 6508 鼠标跟随.exe 程序意图完全透明： ...
五个工程，横跨一年半（2014-10 → 2016-04），是这批归档里迭代最勤的一条线： 2014-10-25 其他/lrc.e 8,349 LRC 歌词制作器 2016-01-10 播放器/音乐播放器/对照.e 7,203 惜缘音乐盒子 2016-01-10 播放器/音乐播放器16.01版源码.e 30,239 2016-03-25 播放器/音乐播放器内测.e 72,627 主力版 2016-04-12 播放器/LOL专用精便小巧播放器.e 2,962 读法在旗舰篇。这篇讲一件我在做筛选时才想明白的事。 ...
LP机器人/机器人.e，2016-06-03，10,763 字节，扫描产出 82 条串。 方法在旗舰篇。这一篇想说一件更实用的事：当一个工程的串少到 82 条，你不需要筛选，需要的是把它摆成四栏。 把 82 条串摆成四栏 界面 事件 状态变量 用户文案 超级列表框1 __启动窗口_创建完毕 钱数 ,报到成功! TA发送的信息 _按钮1_被单击 钱总 ,您已经报到过了 编辑框1 / 2 / 3 （只有这两个事件名） 钱分 请用 收杆 结束钓鱼。 标签1 / 2 / 3 鱼儿分 2:签到(每日一签~) 按钮1 / 2（确定） 签到人总 功能： 返回信息 钓鱼人总 帮助 机器人控制区（分组框） 句柄分 钱了！ 其他区（分组框） 句柄QQ记录分 钱了。 读取在哪 记录 / 记录类型 删除成员 (j, , ) 想读取的 索引 / 刷新 要判断的 功能： 线程 / 常量1 支持库：系统核心支持库、扩展界面支持库一、多线程支持库、特殊功能支持库。 ...
两个文件，各一千多字节，同一天改的： 服务端.源码.e 1,729 字节 2016-10-02 客户端.源码.e 2,115 字节 2016-10-02 这一对我几乎可以肯定就是用来搞清楚格式的那两个文件 —— 因为在旗舰篇里，我推导长度前缀、窗体记录形状、支持库表项结构，用的全是它俩。 但也是这一对，让我推翻了自己几天前刚写下的话。 一、研究格式要找最小的标本 服务端.源码.e 1,729 字节，扫描产出 20 条串。全部列出来： 0 CNWTEPRG ← 容器魔数 20 嫉溪Ｅ突盼 ← 伪影 180 犆壕Ｅ位盼 ← 伪影 368 捞噪な协盼 ← 伪影 408 (无意义) 480 _启动窗口 ← 窗体名 493 在程序启动后自动调入本窗口 ← 窗体说明 678 服务器1 ← 控件：监听 796 捞与盼 ← 伪影 924 d09f2340818511d396f6aaf844c7e325 ← krnln 的 GUID 961 系统核心支持库 ← 唯一一个支持库 1015 窗口程序集1 1114 栗楼罚佛盼 ← 伪影 1220 躺吵恭墩ｒ匙s ← 伪影 1324 测试端口映射.exe ← 容器里存的是带目录的全路径 1408 客户1 ← 控件：连接 1414 __启动窗口_创建完毕 ← 唯一的事件 1434 服务器1 1442 __启动窗口_创建完毕 1462 客户1 1500 锣荡Ｅ苹盼; ← 伪影 20 条里有 8 条是伪影 —— 这个比例（40%）正好也是旗舰篇里那套统计筛法要解决的问题。在小样本上，伪影不是噪音，它就是主要产出，所以你被迫把每一条都查到字节级才算读完。 ...
其他/辅助/植物大战僵尸阳光修改器.e，2016-04-13，1,755,148 字节，扫描产出 75,198 条串。 我第一个"改别人进程内存"的东西。方法在旗舰篇，这一篇的两个看点是：怎么量出"多少是别人的"，以及我在这一个文件上读错过一次。 一、我自己写的部分：1,520 字节就到头了 窗体区的全部产出： 480 _启动窗口 493 在程序启动后自动调入本窗口 770 PlantsVSzombies阳光修改器 ← 窗口标题 827 读当前阳光 944 读取当前阳光 984 当前阳光标签 1155 当前阳光： 1201 阳光设置 1316 确认设置阳光 1356 阳光编辑框 1519 100000 ← 编辑框的默认内容 就这些。两组功能： ...
这一讲的位置 上一讲把字节、位数、壳这些东西钉死了。这一讲开始真的拆代码：静态怎么读，动态怎么改。 配套的两个小工程（异或链的加密原版和逆推版）在 r4-reverse-course，那节课就是拿它们演示的。 一、先把"逆向"和"PWN"的边界说清楚 两个都是搞二进制的，为什么要分家？ 区别在你能不能碰到那份代码。 逆向：代码在你本地运行。你能读它、能改它、能单步它、能把它 dump 下来。所以 flag 一定藏在程序里面——你把整个代码分析透了，flag 就在你手里。 PWN：代码在服务器上，你碰不到。你把程序整个打穿、源代码分析得再透，也拿不到 flag；你得把服务打下来、拿到权限，去读服务器上的文件。 这个边界一旦立住，很多东西就顺了：为什么逆向要学调试器（因为程序在你手里）、为什么 PWN 不太需要静态读通业务逻辑（因为攻击面在输入而不是在算法）、为什么"能不能本地调试"是判断这两类题目的第一直觉。 顺带一个应用面上的差别：逆向的能力会直接用在注册机、勒索病毒解密工具这类事情上——因为那些东西的算法就在本地，是可以反推的。 二、异或的双向可逆，就是解题引擎 拿到一道"输入 flag → 变成看不懂的东西 → 比对"的题，第一件事不是看它加密得多复杂，而是确认它用的是不是异或。 ...
为什么先讲这些 逆向这件事，工具可以换、题可以刷，但有一层东西不钉死就会一直翻车：你看到的长度、地址、数字，到底是多少字节。 这一讲就是把这个地基打平，然后讲拿到一个陌生文件的第一步该做什么。 一、只有一句话需要背：1 字节 = 8 位 其余全是推论，而且不同软件会故意让你记错。 Windows 自带的计算器切到「程序员」模式是入门阶段最划算的一个动作：它能同时显示 2 / 8 / 10 / 16 进制，每一位都能点着切换，还能看到 B（字节）、W（字）、D（双字）、Q（四字）这几个档位。 ...
一句话 就这一句。16 分 50 秒之后我收到一份成品的勒索软件静态分析报告，外加一张行为链信息图。报告和样本（GPG 加密）放在 h39-weaxor-static-report。 这篇讲这一句之后发生了什么，以及哪几处是下次要盯的。样本本身的技术结论在报告里，我不在这里重讲一遍。 先纠正一个容易写歪的地方：这不是在我这台电脑上跑的 标题写"AI + REA"，很容易让人以为是我本机那套工具链在干活。不是。四条本地实测： 本机 GHIDRA_INSTALL_DIR 未设置，全盘找不到 Ghidra。 报告说样本归档在 malware-analysis/2026-10-14-re-task/，这个目录在我两个盘上都搜不到。 会话记录里出现的命令是 sudo apt-get install、source ~/.bashrc、python3 -m pip install pefile、ls -la /root/.hermes/ —— 那是一个 Linux 环境，不是我的 Windows。 我本机那份 rea 是 2026-10-14 装的、10-15 卸的，装的时候 rea doctor 一直报 missing_analysis_engine，我当天选择先跳过。也就是说我这台机器上的 REA 从来没有过可用的反编译引擎。 所以真实分工是：agent 那边自己有沙箱、自己有 REA 和 Ghidra；我这边出的只有一句话、一个企业知识库、和一个邮箱。 ...
为什么翻这个 D:\...\Pangolin\repos\1-2023ctf 和 2-2023ctf2 是 2023 年给校内 CTF 出的两套逆向题，八道，原目录加起来 1.5 GB。这 1.5 GB 里绝大部分是 VS 的构建缓存（.vs/、ipch、pdb、Browse.VC.db），清掉之后只剩 48 个文件 8.6 MB，而其中源码本身只有 35 KB / 12 个文件。这次把缓存剔了，只留源码、当时真正发出去的 exe、两个分发包和第二套的官方题解，放进 r1-2-2023ctf-reverse。 ...