如何使用 Opus 5.5 逆向工程任何內容（完整課程）

1# 1. 將 REA 註冊到你的 Agent（Claude Code、Codex、Cursor、Gemini CLI...）
2npx rea-agents setup            # 顯示預計變更，寫入前會先詢問
3
4# 2. 深度分析提供者。macOS 上 Hopper 最順；
5#    setup 可以在你同意後幫你裝。Ghidra 和 IDA 要自備。
6# 3. 安裝 rea CLI，方便在終端機使用與寫腳本
7npm install --global rea-agents
8rea --help
9
10# 4. 重啟你的 Agent，然後確認工具已上線
11claude
12> /mcp
13  rea: connected
14    open_binary, binary_overview, analyze_function, decompile,
15    list_procedures, search, xrefs, trace, inspect_artifact,
16    analyze_javascript_application, inspect_managed_artifact ...

1# 逆向工程守則（ CLAUDE.MD ）
2
3## 權限
4- 只分析我擁有或有權檢查的目標。說明一次依據即可。
5- 每個主張都要標記：觀察（親眼看到）、推論（推理得出）或未知。
6- 引用證據：位址、位元組、偽代碼或呼叫點。不接受無來源的主張。
7
8## 工作流程
9- 從最小的總覽開始，不要一次全倒出來。只在有明確缺口時才展開。
10- 沿用已開啟的 session；絕對不要重複跑一模一樣的分析。
11- 分開靜態事實與執行期事實。絕對不要從靜態讀取暗示程式有被執行。
12
13## 重建
14- 根據「行為」與公開規格來打造，絕不複製程式碼或素材。
15- 記一份待辦帳本：每個還原出來的行為，都要有通過的測試才算「完成」。

1我想了解 [APP] 裡的 [FEATURE] 是怎麼運作的，它的路徑是 [ABSOLUTE PATH]。
2
3首先，告訴我這是哪一種目標（native、Electron/JS、.NET、Go、APK、WASM），
4並挑選正確的 REA 工具來開啟它。先不要開始深度分析。
5
6接著給我一段話的地圖：這個 app 用什麼做的、有多大、
7要找 [FEATURE] 你會先看哪裡。把觀察、推論與未知分開，
8任何主張都要附上證據。

1rea.open_binary        { path: "/Applications/Target.app/Contents/MacOS/Target" }
2rea.binary_overview    {}
3  arch:        arm64
4  functions:   1,284 identified
5  segments:    __TEXT __DATA __LINKEDIT
6  entry:       _main @ 0x1000051c0
7
8rea.search             { query: "http" }  # strings + code refs
9  0x10004a2c0  "https://api.target.app/v3/sync"
10  0x10004a300  "Authorization: Bearer "
11  0x10004a330  "offline cache miss, falling back"
12
13rea.xrefs              { address: "0x100012ab0" }  # who calls this?
14  147 references  ->  core config loader, called everywhere

1# 依位址反編譯單一函式，輸出可 pipe 或存檔的 JSON
2rea decompile /Applications/Target.app/.../Target 0x100012ab0 \
3  --provider hopper --json > fn_config_loader.json
4
5# 或用名稱搜尋函式，並追蹤參考
6rea function /path/to/Target parseConfig --provider hopper --json
7rea xrefs    /path/to/Target 0x100012ab0 --provider hopper --json
8rea trace    /path/to/Target "sync" --provider hopper --json

1// 0x100012ab0  xrefs: 147
2void sub_100012ab0(void* arg0) {
3    void* var_20 = objc_msgSend(cls_NSJSONSerialization,
4        sel_JSONObjectWithData_options_error, arg0, 0x0, 0x0);
5    if (var_20 != 0x0) {
6        void* var_28 = objc_msgSend(var_20, sel_objectForKey, @"endpoints");
7        void* var_30 = objc_msgSend(var_20, sel_objectForKey, @"auth_mode");
8        void* var_38 = objc_msgSend(var_20, sel_objectForKey, @"retry_count");
9        objc_msgSend(g_sharedConfig, sel_setEndpoints, var_28);
10        objc_msgSend(g_sharedConfig, sel_setAuthMode, var_30);
11        objc_msgSend(g_sharedConfig, sel_setRetryCount,
12            objc_msgSend(var_38, sel_intValue));
13    }
14}

1這是一個有 147 個交叉參考的函式所反編譯出來的偽代碼。
2
3針對這個函式：
41. 依照使用方式，把每個變數重新命名為有意義的名稱。
52. 用一句話說明它的用途。
63. 列出它讀寫了哪些資料結構。
74. 說出它用的模式（singleton、factory、state machine、observer...）。
85. 用乾淨、道地的 Swift（或呼叫慣例暗示的語言）重寫，並附上 doc comments。
96. 標出任何缺少的錯誤處理、輸入驗證或安全檢查。
10
11回答前先以 xhigh effort 想清楚：在定下名字之前，先推理每個值是什麼。
12不確定的地方都要標出來。
13
14[貼上偽代碼]

1這個函式看起來被混淆了。請用 max effort 處理。
2
31. 找出使用了哪些技巧（控制流平坦化、opaque predicates、
4   死碼、字串加密、函式拆分），並指出它們在這段程式碼裡的具體位置。
52. 解開它們：移除死分支、評估 opaque predicates、解除 dispatch 平坦化、
6   如果 key 找得回來就解密 inline 字串。
73. 秀出剩下的乾淨函式。
84. 用 1-10 分評估你的信心。低於 6 分的話，明確告訴我哪些部分不確定，
9   以及需要哪些鄰近上下文才能解開。不要默默瞎猜。
10
11[貼上混淆過的偽代碼]

1你是逆向工程的 controller。函式地圖在 functions.json 裡
2（address、name、size、xref_count）。
3
41. 依呼叫圖的親近度將函式分群；依 xref 數量排序群集。
52. 把每個群集派給一個 worker。絕對不要自己分析任何函式。
63. 把已解析的 struct 注入每個 worker 的 brief，讓命名保持一致。
74. 當 worker 回傳的信心低於 6，就把已解析鄰居的上下文加進去，排第二次處理。
85. 追蹤累計 token 花費，並在每個群集完成後回報。

1你是 worker。你會拿到一個反編譯好的函式，以及目前為止解析出的 struct。
2嚴格回傳：address、purpose、confidence（1-10）、structs_used、structs_new、
3clean_source、flags。沿用既有的 struct 名稱；controller 已經給過你的 struct，
4絕對不要自己發明第二個名字。一次只處理一個函式。做完就停。

1根據完成的分析，撰寫一份供重製使用的 clean-room 規格。
2
3只描述「行為」。包含：每個公開介面、資料模型、每個使用者看得到的功能
4（寫成可測試的需求）、讀寫的檔案格式（依觀察到的行為與公開規格），
5以及錯誤處理行為。
6
7「不要」包含：位址或 offset、反編譯出來的變數名稱、組合語言，
8或任何從原版複製的東西。必須讓一個從未見過該二進位檔的開發者，
9光靠這份文件就能實作出相容版本。
10
11輸出 markdown，分為以下章節：Architecture、Data Model、Public API、File Formats、
12Test Cases。

1drive WordCraft over MCP
2
3# Headless document automation
4claude mcp add wordcraft -- wordcraft-cli mcp
5
6# Or drive the running desktop app
7wordcraft --control 7981 &
8claude mcp add wordcraft-app -- wordcraft-cli mcp --connect 127.0.0.1:7981
9
10# Tools: list_commands, execute, batch, type_text, select_text,
11#        inspect_document, render_page, save_document (+ screenshot/click/key live)
12> Open report.docx, make every heading 14pt bold, export to PDF
13  ✓ select.all-headings -> 12 selected
14  ✓ format.font-size 14 · format.bold
15  ✓ export report.pdf (selectable text, bookmarks kept)

1Build a behavioral test harness comparing the original binary and my rebuild.
2
3Generate 50 inputs: 30 normal, 10 edge (empty, max size, unicode, special chars),
410 error (malformed, missing fields, corrupt). Run each through both. Compare output
5byte-for-byte where possible, semantically otherwise. Report match rate, a divergence
6list, and a severity for each (cosmetic / behavioral / critical). Save to report.md.