Rust写的二进制瑞士军刀:knife三格式逆向一站式

导语:IDA(交互式反汇编器)太重、YARA(恶意软件特征匹配规则引擎)散装、binwalk(固件格式扫描工具)只看固件——bl4ckr0ss3把这个痛点用Rust重写成了一把叫knife的瑞士军刀。PE、ELF、Mach-O通吃,从分诊到漏洞定位一站搞定,还能当MCP(模型上下文协议,让AI直接调用外部工具的标准接口)服务器喂给Claude之类的AI agent当工具用。

一、这把刀干了什么

knife的全称是”Find the bug, not just the binary”——找到漏洞,不只是翻翻二进制。作者bl4ckr0ss3把多年逆向工程里反复拼凑的工具链整合进了一个Rust单文件,核心定位是纯静态分析:只读磁盘字节,从不执行目标。这点对处理恶意样本的红队成员至关重要——你不想分析勒索软件时先把自己电脑送了。

覆盖三大主流格式:PE(Windows EXE/DLL/SYS)、ELF(Linux可执行/.so共享库)、Mach-O(macOS/iOS二进制/dylib动态链接库)。安装成系统命令后,丢一个文件进去就能拉出完整分诊报告:文件哈希、节区、安全缓解措施、导入导出、字符串、熵值图、IOC(入侵指标,包括URL/IP/邮箱/钱包地址等威胁情报线索)。IDA要打开看半天的东西,knife用grep的体验吐出来。

二、四大逆向命令

knife真正区别于其他分诊工具的地方在四个组合命令——它不只是告诉你二进制”能做什么”,而是告诉你它”会被什么打穿”。

sec——对手有什么。 不看缓解措施的标志位,直接读真实配置。设了DYNAMIC_BASE(动态基址,ASLR即地址空间布局随机化的关键开关)但没.reloc节(重定位表)等于没开;GUARD_CF标志位(控制流防护,阻止ROP即返回导向编程跳转劫持)开着但保护表是空的等于摆设。每条发现都附带后果说明。

sinks——攻击面在哪。 按”错误类型”分组匹配危险API调用点:无界拷贝、格式化字符串、栈上输入大小分配、命令执行。匹配到的不只是导入列表,是已解析的调用点——地址在已命名函数里,不是sub_xxx残影。在kernel32.dll上挖出327个调用点覆盖17个API。

audit——哪些真能打。 真正让我眼前一亮的地方。对每个匹配到的危险调用,knife做反向数据流分析,追溯危险参数从哪来,只保留符合漏洞模式的调用点。比如memcpy长度由减法算出——整数下溢到巨大尺寸?printf格式串从内存加载而非字面量?结果按严重度排序,诚实地说明”这条路径只在某些分支成立”,不夸张不糊弄。支持x86/x64。

xrefs/paths——谁调到谁。 谁引用了某个函数/导入/地址/字符串;从入口往下追给出能到达某危险API的最短调用链,配合Graphviz输出调用图SVG。提醒一句:空结果不能证明不可达——间接分发不在直接调用图覆盖范围。

函数恢复能力用kernel32.dll实测:2605个函数,1515个已命名。通过PE异常目录从87个恢复到6472个——其他工具通常卡在87就停了。.plt(过程链接表)/GOT(全局偏移表)和jmp [IAT](导入地址表间接跳转)thunk被自动跟踪,调用点显示call strcpy@plt而非匿名sub_。

三、内置实战案例

knife文档里用Equation Editor的著名栈溢出漏洞(编号CVE-2017-11882)做了完整复盘:sec显示没有任何缓解措施,audit直接定位到字体名拷贝点,dis反汇编确认就是lstrcpyA(&var_28, arg_8 + 0x1c)——攻击者控制的数据被复制进栈缓冲区。对想学二进制漏洞审计的新手来说,这就是一份现成教材:从分诊到漏洞点定位,中间每步都用真实工具跑出来的数据说话,不是纸面分析。

四、MCP:让AI agent当你的逆向助手

这是knife最值得红队关注的特性。内置MCP服务器模式,启动后通过stdio(标准输入输出)暴露30个分析工具——恢复函数、读伪代码、对危险调用点排序、写名字和注释。AI agent绑定一个二进制后,后续调用都不用再传路径:

claude mcp add knife -- knife mcp

因为是纯静态,服务器不会运行样本,可以放心把恶意软件丢给Claude分析,不用担心agent被反控。配合前面四个逆向命令,等于让AI做了一轮完整的漏洞狩猎初筛。

另外knife drv FILE专攻Windows内核驱动审计:解码IOCTL(输入输出控制码)码、识别IRP_MJ_*派发处理程序(Windows驱动请求包主功能码分发器)、查loldrivers.io(已知漏洞驱动样本库,2000+样本)做SHA-256比对。--reachable筛选用户态实际能触发的原语,评估驱动能否被滥用做权限提升特别有用。

五、安装与使用

三种方式选顺手的:

# 从 crates.io 安装(推荐)
cargo install reknife

# 用 cargo-binstall 拉预编译二进制
cargo binstall reknife

# 从 GitHub 拉源码编译
cargo install --git https://github.com/bl4ckr0ss3/knife

或者直接从Releases页面下载预编译压缩包扔到PATH里。要求Rust 1.88+(2021 edition),整个工具纯Rust,无需额外系统库。

常用命令速查:knife FILE全量分诊;knife sec/sinks/audit/xrefs/paths对应四大逆向命令;knife tui交互式终端界面;knife mcp启动MCP服务器;knife drv驱动审计。所有命令加--json输出机器可读格式,方便接入自动化管道。

社区和Release通知在Discord,问题PR欢迎,记得跑cargo fmt/clippy/test,CI三平台都跑。