Repository navigation
Reverse Workbench
把分析目标交给 Agent，由它建立或继续 ReverseJob，组织样本、静态初筛、外部工具、动态观察与发现。逆向任务页面呈现产物与证据，支持你随时检查进度；相关 HAR 或代理流量也能接进同一分析。
在逆向任务详情页唤出悬浮球，或打开完整对话：
以我当前打开的逆向任务为对象，先读取目标、样本和已有产物。
整理已完成步骤，建立定位请求签名逻辑的待办，选择适用工具继续分析。
每项结论附文件、函数或请求证据；阶段产物保存到该任务，最后交付分析与复现材料。
先做静态分析，需要动态观察时说明所需环境和下一步。
从新样本开始时，提供允许读取的文件路径或材料引用，让 Agent 创建任务并导入。当前任务的路由与 ID 可用于定位工作对象；具体代码片段可以引用到对话。下面的步骤说明任务结构、依赖和结果位置，便于核对 Agent 的执行。
准备你拥有或获准分析的样本，说明目标、平台和问题，例如“定位这个 APK 的请求签名入口”或“整理 JS bundle 中的接口与认证线索”。先从静态分析开始，动态注入、重打包与安装设备应单独说明范围。
在设置或逆向工作台检查工具链。外部工具可以从 PATH 探测、配置自定义路径，部分支持确认后托管安装。缺少依赖时应先解决工具问题，不要把“工具无法执行”误认为样本无法分析。
- 从侧栏进入 逆向工作台，创建任务并写清目标与样本类型。
- 导入 APK、IPA、PE、ELF、JS 或 HAR 等材料。核对导入结果与文件来源。
- 执行适用的静态分诊，查看摘要和产物。
- 根据问题选择解包、搜索、反编译或动态分析步骤。
- 把关键函数、字符串、请求 trace 和验证记录保存为任务产物或发现。
- 最后导出需要交付的文件或整个任务，保留样本和结论之间的关联。
任务内可管理样本与产物、分析发现、Hook 以及复现脚本。导入一个文件并不表示它已被安全地执行；执行、注入或安装样本前应明确环境和影响。
典型路径是先解析 Bundle、Source Map 或 Webpack 线索，提取接口、参数和关键字符串，再对局部代码做反混淆或运行时观察。
分析当前任务的 JS bundle，先给出模块结构、接口与签名相关入口。
保留 Source Map 和文件位置引用；只对相关片段继续反混淆。
不要向未知接口发请求。若需要浏览器 Hook，先说明目标页面和要观察的函数。
Node.js、webcrack、restringer 和 WABT 走按需受管运行时。WASM 的反汇编、反编译需要 WABT；部分结构读取工具直接解析模块，无需先安装整个外部工具链。
浏览器 Hook 与代理流量可以帮助验证“哪段代码参与了哪次请求”。把观察到的输入、输出、调用条件与样本版本一起保存，避免只留下脱离环境的函数片段。
| 工作 | 常见依赖 | 需要核对 |
|---|---|---|
| APK / IPA 静态初筛 | 内置静态分析 | 包信息、权限、资源、字符串和结构线索 |
| Android 反编译与解包 | JADX、APKTool | 工具路径与版本、任务产物目录 |
| Android 设备操作 | adb | 目标设备已连接且可见，设备标识正确 |
| Android 重打包与签名 | APKTool、zipalign、apksigner 或 jarsigner | 测试包与签名材料来源、安装影响 |
| iOS 头文件等辅助分析 | class-dump 等平台工具 | macOS 与样本适用条件 |
| 动态观察 | Frida、Objection 等 | 设备、进程、注入方式和授权 |
程序不会替你启动模拟器；先让目标设备或模拟器出现在 adb 中。不要把“adb 存在”当成“设备已连接”。
静态分析任务示例：
对导入的测试 APK 做静态分诊，列出网络配置、组件暴露和签名相关线索。
先扫描工具链，再按需使用 JADX 或 APKTool。
输出每个结论的文件、类或方法位置；不安装到设备，不进行 Frida 注入。
需要动态分析时，另行指定已经连接的测试设备、包名或进程，说明 attach/spawn 方式与预期观察。注入、重打包、签名和安装可能改变运行行为，应先保存原始样本和必要记录。
先通过静态 triage 查看架构、节、导入导出与字符串等线索，再按问题调用 capa、yara 或 Ghidra。Ghidra 可用于函数发现、反汇编和反编译；外部工具产生的内容应保存在任务产物中。
对当前 ELF 做离线分诊，列出架构、导入导出和值得追踪的函数。
若 Ghidra 可用，再反编译相关函数并记录地址和调用线索。
不运行样本，不附着本机进程；需要动态验证时先提出方案。
分析恶意或不明样本时，应使用适当隔离环境。ArgusAI 的文件工作区和 Python 虚拟环境不等于完整的恶意代码隔离系统；宿主机权限与外部分析工具仍然生效。
可以把单条代理流量或 HAR 关联到 ReverseJob，再沿着 URL、字段名、签名参数或加密线索搜索样本。对于请求签名复现，保存已知输入、观察输出和代码位置，先验证固定样例，再考虑更广泛使用。
导出或共享时，检查 HAR 中的 Cookie、Token、个人数据和设备信息；可交付文件应按需要脱敏。
- 工具未检测到：重新扫描 PATH 或在设置中填入实际可执行文件路径。
- Java 依赖缺失：JADX、APKTool、Ghidra 等可能还需要相应 Java 环境，按工具报错核对。
- 设备未出现：先在系统终端确认 adb 的设备连接与授权，再回到任务继续。
- Frida 连接或注入失败：核对设备、进程、工具版本与目标架构，保留错误，不要盲目重复 spawn。
- 工具返回产物路径但文件不可读：确认该文件属于当前任务并仍存在，再检查访问权限。
CLI 可使用 argusai reverse list、argusai reverse toolchain 等命令查看状态；完整创建、导出与恢复命令见CLI 参考。
ArgusAI 文档首页 · 项目仓库 · 达瓦科技