Del archivo
a la comparación

Triage de 15 minutos: reduce antes de decompilar

Trabaja sobre una copia y registra cada hallazgo con offset o dirección. El hash identifica el artefacto exacto; no demuestra que sea benigno. No subas muestras privadas a servicios públicos de análisis.

ELF vs PE · estático vs dinámico

Ghidra: del import a nombres que expliquen

Descarga Ghidra únicamente desde el repositorio oficial de la NSA ↗. Su documentación de instalación actual pide JDK 21 de 64 bits; revisa allí los avisos de seguridad y la release vigente, sin fijar una versión de Ghidra en tus notas.

1. Import. Proyecto local → Import File; confirma formato, procesador, endian y compiler spec. Si Ghidra los infiere mal, corrige antes de analizar.
2. Analyze. Acepta el análisis estándar para el primer pase. Guarda language/compiler, entrypoint, funciones recuperadas y si faltan símbolos.
3. Encuentra main. Busca el símbolo; si está stripped, parte del entrypoint/runtime y sigue la función pasada al arranque. Alternativamente sigue xrefs desde mensajes de éxito/error.
4. Decompiler + Listing. Lee el pseudocódigo para orientar el dataflow, pero valida longitud, tipos y salto decisivo en Listing.
5. Xrefs. Desde una cadena, import o global: References → Show References To. Sigue el caller que consume el input, no cada función del programa.
6. Rename y tipos. Renombra FUN_*, variables y buffers por hipótesis explícitas: read_candidate, xor_key, expected. Corrige tipos; si una hipótesis cae, renómbrala otra vez.

radare2: recorrido corto y auditable

Usa como referencia el libro oficial de radare2 ↗. Los comandos siguientes abren para análisis, no escriben el archivo.

Cuándo sí pasar a GDB

No abras GDB “para ver qué pasa”. Hazlo únicamente con un ELF de reto autorizado en una VM aislada y una hipótesis escrita. Si la respuesta ya está en el estático, ejecutar añade riesgo sin añadir evidencia.

Patrones escolares y punto de corte

Micro-reto local: reconstruye la flag

Lee este pseudocódigo como decompilado: identifica input, transformación, esperado y condición de éxito. Resuelve a mano o con una nota local y pega la flag completa. Este ejercicio entrena lectura de dataflow; no sustituye analizar un binario, su layout, xrefs ni instrucciones.

bool check_candidate(char *candidate) {
    uint8_t expected[15] = {
        0x60, 0x77, 0x65, 0x58, 0x57,
        0x51, 0x4a, 0x42, 0x44, 0x46,
        0x7c, 0x5b, 0x4c, 0x51, 0x5e
    };

    if (strlen(candidate) != 15) return false;
    for (int i = 0; i < 15; i++) {
        if ((candidate[i] ^ 0x23) != expected[i]) return false;
    }
    return true;
}

Ruta externa mínima · en este orden

Los catálogos cambian: usa categorías y criterios vigentes, no nombres congelados. No descargues una colección; elige un solo artefacto autorizado y registra su hash.

1. 35 min · mínimo

   1 · Documentación oficial

   Reproduce el flujo de esta hoja sobre un binario propio trivial usando el repositorio oficial de Ghidra y el libro oficial de radare2 enlazados arriba. Debes llegar al mismo validador por decompiler y por iz → axt → pdf/pdc.

   salida: SHA-256 + dirección del validador + xref + tres nombres semánticos
2. 45 min · mínimo

   2 · picoCTF / picoGym

   Entra por la guía oficial de picoCTF ↗, abre picoGym y filtra Reverse Engineering. Elige un reto vigente de dificultad inicial que entregue un binario; aplica el pipeline completo antes de consultar pistas.

   salida: 1 flag + write-up: identidad, hash, pista, xref, transformación y corte
3. opcional · solo con aislamiento preparado

   3 · crackmes.one

   Lee primero y entra únicamente por la FAQ de crackmes.one ↗. No se enlaza ningún crackme concreto: tú validas licencia, plataforma y dificultad antes de descargar.

   condición de entradaVM aislada y desechable · snapshot limpio · red deshabilitada antes de abrir el archivo · sin carpetas compartidas, portapapeles ni credenciales. Si no puedes cumplir las cinco, omite esta parada.
   salida: criterio de selección + hash + análisis estático; ejecución no requerida