필사 모드: リバースエンジニアリングツール 2026 — Ghidra / IDA Pro / Binary Ninja / radare2 / Frida / x64dbg / angr 徹底解説
日本語プロローグ — なぜ2026年にREツールを改めて整理する必要があるのか
2019年3月、NSAがRSAカンファレンスでGhidraをApache 2.0として公開した。あの一発の発表が、リバースエンジニアリング市場の30年来の均衡を崩した。それまでIDA Proのライセンス料(商用デコンパイラ込みで\$3,710から)を払えなかった学生、アマチュア、予算のない研究室は、無料のディスアセンブラではせいぜいIntel記法を眺める程度しかできなかった。デコンパイラ市場は事実上Hex-Raysの独占だった。Ghidraがその構造を破壊した。x86・ARM・MIPS・PowerPC・SPARC・RISC-Vすべてを無料でデコンパイルし、共同編集をサポートし、Java/Python両方のスクリプトAPIを最初から公開した。
それから7年。2026年のREツール地図はもう「IDA Proかそれ以外か」ではない。ディスアセンブラ側にはGhidra・IDA Pro・Binary Ninja・radare2(Cutter UI)・Hopperが同時に共存している。モバイルREの標準はFridaになり、CTFシーンはPwntools・Pwndbg・GEFの上で回り、学術陣営はangr・Triton・KLEEのようなシンボリック実行を定着させた。そして最大の変化 — LLM支援RE。Binary Ninja Sidekick、IDA ProのDecompiler AIプラグイン、GhidraのGhidraMCP・G-3PO・sidekick統合が、デコンパイラ出力を意味のある関数名・変数名・コメントへ自動でリネームしてくれる。
この記事では17個のツール・エコシステムを同じ軸で整理する。各ツールについて「強み・弱み・実際に誰が使うのか・2026年の価格・ライセンス」を統一フォーマットで並べる。最終章では「学生 / CTFプレイヤー / モバイルRE / ファームウェア / プロのREエンジニア」がそれぞれ何を入れるべきかを判断ツリーにまとめる。
> モデルは均質化していき、ツールはむしろ差を広げている。同じELFバイナリでも、Ghidraで見るのとBinary Ninjaで見るのとでは思考の流れが違う。その違いが解析速度を決める。
価格・機能の数字は速く変わる。本記事の数値はすべて2026年5月時点。構造的な差に焦点を当てる。
第1章 · 2026年のRE地図 — 4分類で整理する
まずツールを4つに分ける。この分類が最初の意思決定そのものになる。
**軸1 · 静的ディスアセンブラ / デコンパイラ**
バイナリを実行せずアセンブリやC風の擬似コードへ分解する。Ghidra・IDA Pro・Binary Ninja・radare2 + Cutter・Hopper・Plasma。すべてのRE作業の出発点。デコンパイラの品質が市場シェアを決める。
**軸2 · 動的デバッガ**
動いているプロセスにアタッチし、レジスタ・メモリ・コールスタックを観察する。x64dbg(Windows)、OllyDbg(32bit Windows、レガシー)、WinDbg(Microsoft純正)、GDB + Pwndbg/GEF(Linux)、LLDB(macOS/iOS)。CTFの中核ツール。
**軸3 · 動的計装 (Dynamic Instrumentation)**
動作中にコードを注入して関数呼び出しを横取りしたり書き換えたりする。Frida(モバイル・デスクトップ標準)、Cheat Engine(ゲームメモリ編集)、Intel Pin、DynamoRIO、Wireshark(ネットワーク層)。静的解析が詰むパッキングや難読化バイナリに強い。
**軸4 · シンボリック実行 / 抽象解釈**
入力を具体値ではなくシンボリック変数として扱い、到達可能なすべての経路を探索する。angr(Python)、Triton(C++/Pythonバインディング)、KLEE(LLVMベース)、Manticore。自動エクスプロイト生成や脆弱性発見の学術的基盤。
ここに2つの「支援層」が加わる。
**エンジン層**
他のツールが内部で使うライブラリ。Capstone(ディスアセンブラエンジン)、Keystone(アセンブラエンジン)、Unicorn(CPUエミュレータ)、QEMU(システムエミュレータ)。radare2・Binary Ninja・angrはすべてこの上に乗っている。
**LLM層**
2026年に新たに位置を確立した層。Binary Ninja Sidekick、IDA Pro Decompiler AI、Ghidra用GhidraMCP・G-3PO・claude-mcp-ghidra。デコンパイラ出力をLLMに渡し、関数名・変数名・コメントを自動生成する。
この4軸 + 2層を頭に入れた上で、各ツールを順に見ていく。各章は同じテンプレートで整理する: ベンダー・ライセンス / 強み / 弱み / 実際に誰が使うのか / 2026年価格。
第2章 · Ghidra — NSAが解き放った無料の標準
**ベンダー・ライセンス**
米国国家安全保障局(NSA)のサイバーセキュリティ部門が開発。2019年3月のRSAカンファレンスでApache 2.0として公開。GitHubのNationalSecurityAgency/ghidraリポジトリが正式の本拠地。2026年現在の安定版は11.x系列。
**強み**
無料。この一言がすべてを変えた。JavaベースのGUIにEclipse風のマルチウィンドウ。x86・x86-64・ARM・AArch64・MIPS・PowerPC・SPARC・RISC-V・AVR・6502まで幅広いアーキテクチャ対応。デコンパイラ品質はIDA Hex-Raysに真剣に挑戦できる水準まで来た。Ghidra Server(公式コラボ)、Ghidrathon(Pythonスクリプティング)、GhidraMCP(LLM連携)、Python 3対応がすべて2024〜2025年に安定。クリーンなP-code中間表現のおかげで解析プラグインを書きやすい。
**弱み**
デバッガが弱かった。2022年に追加されたものの、GDBやx64dbgと比べるとまだ粗い。UIはJava Swingなのでmacosでネイティブ感が出ない。大きなバイナリ(50MB以上)で解析が遅い。コラボサーバの構築は手間で、実質社内SREが立ててくれないと使えない。
**実際に誰が使うのか**
学生、CTFプレイヤー、予算のないセキュリティ研究室、政府系契約者(特に米国政府)、オープンソース系セキュリティ研究者の大多数。2026年現在、RE学習を始める人のデフォルトはGhidra。KAIST・POSTECHのセキュリティ部、KISAのレポートはGhidraのスクリーンショットを使う。Hex-Raysの稟議が通らない会社もまずGhidraを入れる。
**2026年価格**
0円。NSAが毎年GitHubに新リリースを出す。
第3章 · IDA Pro (Hex-Rays) — クラシック、高価だが今なお最強
**ベンダー・ライセンス**
ベルギーのHex-Rays SA。1996年初版、30年間REツール市場の基準であり続けている。商用ライセンス。永久ライセンス + 年次アップデートモデルとサブスクリプションモデルの両方を提供。2026年現在はIDA Pro 9.x系列。
**強み**
デコンパイラ品質は依然として業界最高 — 特にARM64、MIPS、そして奇妙なコンパイラ最適化パターンの解釈。インタラクティブなグラフビューは1990年代から磨かれており、関数構造を最速で把握できる。IDAPython・IDCスクリプト、FLIRT/FLAIRシグネチャ(ライブラリ関数の自動識別)、IDA Lumina(クラウド共有メタデータ)、Hex-Rays AI Decompilationプラグイン。Microsoft、Google、Apple、政府系契約者がIDA Proワークフローの上に独自ツールを積み上げてきた歴史が圧倒的。政府・金融・ゲーム保護会社のRE社内標準。
**弱み**
価格。2026年現在、IDA Pro Named Licenseが\$3,710から。Hex-Rays Decompilerはアーキテクチャあたり \$2,995追加。年間メンテは別。フルパッケージ(x86/x64/ARM/MIPS/PowerPCデコンパイラ + 1年分アップデート)は軽く\$15,000を超える。個人で買える価格ではない。学生ライセンス(IDA Free)はクラウドデコンパイル機能が強く制限されている。UIは1990年代Windowsの面影を引きずる — 9.xで一部改善されたが本質は変わらない。
**実際に誰が使うのか**
プロのREエンジニア。政府・防衛・金融・ゲームセキュリティ・マルウェア解析企業の新人教育は今もIDA Proが標準。韓国ではAhnLab、RAONWHITEHAT、KISAの一部チーム。日本ではLAC、トレンドマイクロ東京ラボ、FFRIセキュリティがIDA Proライセンスを保有する代表例。
**2026年価格**
Named License \$3,710 + デコンパイラ アーキテクチャあたり \$2,995 + 年間メンテ。フル構成で\$15,000以上。会社の稟議が必須。
第4章 · Binary Ninja (Vector 35) — モダンでAPIが綺麗
**ベンダー・ライセンス**
米国シアトルのVector 35。2016年リリース。2026年現在は5.x系列。商用ライセンスでIDA Proの約1/10価格。
**強み**
最初からPython APIが1級市民。BNIL(Binary Ninja Intermediate Language)という多段中間表現 — LLIL → MLIL → HLIL — が綺麗で、静的解析プラグインを書くにはもっとも適している。HLILは事実上デコンパイラ出力で、品質はIDAに急速に追いつきつつある。UIがモダン — Qtベースにダークテーマ、マルチタブ、高速検索。Sidekick(自前のLLM支援RE)、Binary Ninja Cloud(ブラウザ協業)、ヘッドレスモード(CI連携)。2024〜2025年にP-Code/Triton統合、KLEEバックエンド、MLIR実験まで追加された。
**弱み**
デコンパイラはIDA Pro Hex-Raysほど成熟していない — 特にMIPS・SPARC・特殊アーキテクチャ。韓国・日本の政府・金融市場でのシェアが依然低く、現地の人材プールも狭い。無料のCloud層は機能制限が強い。
**実際に誰が使うのか**
モダンREエンジニア、セキュリティ系スタートアップ、エクスプロイト開発者、CTFチーム。Trail of Bits・Synacktiv・Theoriのような会社が自前のBinary Ninjaプラグインを公開している。韓国ではTheori本社がBinary Ninja上に独自ツールを積む例で有名。
**2026年価格**
Personal \$300永久 + 年\$150でアップデート。Commercial \$1,500 + 年\$750。Enterpriseは個別。Cloud Free層 + 有料層(月\$10〜)。
第5章 · radare2 + Cutter — Qt UIを纏った強力なOSS
**ベンダー・ライセンス**
Sergi Alvarezが2006年に開始したオープンソース。2018年にItay CohenがCutter(Qt GUI)を作って合流。両方ともLGPL 3.0。
**強み**
完全無料 + OSS。CLIベースのradare2は強力で、`aaa`一発で自動解析、その後`pdf`(関数のディスアセンブル表示)、`s`(seek)、`wx`(hex書き込み)といった短いコマンドですべて完結する。Cutterはそれをラップして、デコンパイラ部分はGhidraのバックエンドを呼ぶ。radare2のr2pipeインターフェースはPython・Node.js・Rustからスクリプト操作可能。バイナリ直接編集(パッチ)が最も直感的。ファームウェアREやIoTデバイスRE、ARM・MIPS・PowerPC組み込みに強い。
**弱み**
学習曲線が急。CLIコマンド体系はVimより難しいと評される — 実際に短いコマンドを本1冊分覚える必要がある。Cutter UIは改善されたがIDAやBinary Ninjaに比べて粗い。デコンパイラはGhidraバックエンドを借りているのでGhidraの限界をそのまま継承する。
**実際に誰が使うのか**
欧州・南米のセキュリティ研究者が多く使う(スペイン発のプロジェクトという背景)。ファームウェアRE、IoTデバイスRE、組み込みARM・MIPS・PowerPC解析。強硬なOSS派、Vimユーザー。CTFでもよく見かける。
**2026年価格**
0円。
第6章 · x64dbg — Windowsデバッガの新標準
**ベンダー・ライセンス**
Duncan Ogilvie(mrexodia)が2013年に開始したオープンソース。GPL 3.0。正式名はx64dbg(64bit)だが、32bit互換のx32dbgモジュールも同梱。
**強み**
完全無料 + OSSでありながら、OllyDbg 2.xの後継として実質的に定着した。Windows PEバイナリのデバッグに最適化 — 32/64bit両対応。パッチ、ブレークポイント、メモリマップ、コールスタック、ハンドル、モジュールビューがIDA Pro並のエルゴノミクスに達している。プラグインSDKが綺麗で、ScyllaHide(アンチ・アンチデバッグ)、SwissArmyKnife、Snowman(デコンパイラ)、x64dbgIDA(IDA同期)など豊富なプラグインエコシステム。2026年も毎月リリースが出る。
**弱み**
Windows専用 — Linux・macOSでは動かない。デコンパイラはデフォルトでは入っておらず、Snowmanプラグインを追加する必要がある。極端に大きいバイナリではメモリビューが重い。
**実際に誰が使うのか**
Windowsマルウェア解析者、ゲームチーター・チート対策エンジニア、Windowsエクスプロイト開発者。韓国ゲーム保護会社(NCSOFT・Nexon・Krafton)のアンチチートチーム、日本のトレンドマイクロ東京ラボがx64dbgを標準ツールとして使う。
**2026年価格**
0円。
第7章 · OllyDbg — レガシー32bitの記憶
**ベンダー・ライセンス**
Oleh Yuschukが2000年に作成したWindows 32bitデバッガ。1.xと2.xがあり、両方ともフリーウェアだがオープンソースではない。2014年以降メジャーアップデートは事実上停止。
**強み**
2000年代後半〜2010年代前半、Windowsマルウェア解析の標準だった。軽量、シンプル、直感的UI。ScyllaHide、OllyDumpEx、OllyAdvancedといった伝説的プラグイン群。ショートカット体系は一度覚えれば一生使える。
**弱み**
32bit専用。2026年現在は64bitが事実上の標準なのでシェアが急落した。メンテナは事実上去り、後継はx64dbg。最新のWindows 11・Server 2025のアンチデバッグは素通しできない。
**実際に誰が使うのか**
2010年代にOllyDbgでREを覚えたシニアエンジニアが、32bitの古いバイナリ(レガシー産業制御システム、古いゲーム、古いマルウェア検体)を扱うとき。韓国・日本のシニア解析者が郷愁で使う場合も。新規学習者にはx64dbgを薦める。
**2026年価格**
0円(フリーウェア)。
第8章 · Hopper Disassembler — Mac/Linuxの小ぶりで上品な選択肢
**ベンダー・ライセンス**
フランスのCryptic Apps。2011年リリース。商用ライセンスで永久ライセンスモデル。
**強み**
macOSで最も統合度の高いREツール。iOS・macOSバイナリ(Mach-O、dyld_shared_cache)の扱いに強い。Hopperのデコンパイラは深さでIDA ProやGhidraに及ばないが、速くて綺麗。UIは軽く、macOSネイティブ — Retina、ダークモード、Touch Barまで自然に対応。Python・Luaスクリプティング。価格が良心的。
**弱み**
Windowsを支援しない(macOS・Linux専用)。デコンパイラの深さはIDA Pro Hex-Rays水準ではない。プラグインエコシステムはIDAやGhidraほど厚くない。ARM64デコンパイラはApple Silicon時代に急速改善中だが依然Hex-Raysに届かない。
**実際に誰が使うのか**
macOS・iOS REエンジニア、Appleエコシステムのセキュリティ研究者、jailbreakコミュニティ。韓国のiOSセキュリティ研究者(ドリームセキュリティ・サムスンリサーチ)、日本のモバイルセキュリティ研究者がHopper + Frida構成を標準で使う。
**2026年価格**
Personal \$129永久 + 1年アップデート、Educational \$99、Pro/Commercial \$199永久 + 1年アップデート。追加アップデートはオプション。IDA Proの約1/30の価格。
第9章 · angr / Triton / KLEE — シンボリック実行の三巨頭
**angr (UC Santa Barbara → 独立財団)**
2015年UCSBのSecLab発。Apache 2.0。PythonライブラリとしてELF・PE・Mach-Oをロードし、CFG復元・シンボリック実行・静的解析を行う。CGC(2016 Cyber Grand Challenge)のMayhemチームの中核技術だった。2026年現在も学術RE・CTFの標準。
**Triton (Quarkslab → 独立メンテナ)**
フランスのセキュリティ会社Quarkslabが2015年に開始。Apache 2.0。C++コア + Pythonバインディング。動的シンボリック実行 + tainted解析 + SMTソルバ(Z3/Bitwuzla)連携。Binary Ninja・IDA Proプラグインとしても動く。実トレースに乗せるSSEなど、産業利用に近い。
**KLEE (Stanford → Imperial College)**
2008年StanfordのCristian Cadarらが作ったLLVMベースのシンボリック実行エンジン。NCSAライセンス。CソースをLLVM IRにコンパイルした上で、その上でシンボリック実行を行う。つまりソースコード(またはLLVM IRに持ち上げたもの)が必要。2010年代にGNU coreutilsの多数のバグを自動発見したあのツール。学術的精度は最高、産業実用性は低い。
**いつ使うか**
任意の入力に対して到達可能なすべての経路を探索し、特定の分岐(例: 「パスワード一致」分岐)に到達する入力を自動で見つけたいとき。CTFの「パスワード検証バイパス」課題、ファジングの補強、自動エクスプロイト生成(AEG)。2026年でも「path explosionのせいで大きいプログラムでは使い物にならない」という限界は変わらない — しかし小さい関数、CTF課題、検証ドメインでは強力。
**弱み**
学習曲線が急。SMTソルバの基礎理解が必要。大きいプログラム(ブラウザやOSカーネル)では事実上使えない。state explosionが永遠の敵。
第10章 · Frida — モバイルREを再定義した動的計装
**ベンダー・ライセンス**
ノルウェーのOle Andre V. Ravnaasが2013年に始めたオープンソース。wxWindows風の寛容ライセンス。一言で言えば「JavaScriptで関数フックできる動的計装ツールキット」。
**強み**
Android・iOS・Windows・macOS・Linux・QNXすべてサポート。ターゲットプロセスにfrida-agentを注入し、JavaScriptで関数フック・引数変更・戻り値書き換えを行う。`Interceptor.attach(addr, { onEnter, onLeave })`一行でどんな関数でも横取りできる。iOSではjailbreakなしでもCorelliumやrootlessモードである程度動く(それでもjailbreakが便利)。frida-tools(`frida-trace`、`frida-ps`)、Objection(自動化モバイルREフレームワーク)が上層に積み上がっている。
**弱み**
検知される。バンキングアプリやゲームのアンチチートが積極的にFridaをブロック — `/data/local/tmp/frida-server`の検索、syscallパターン解析、Fridaが作るメモリマッピングの指紋認識。回避は可能だが毎年軍拡競争。大きな関数にフックを掛けると性能影響が大きい。
**実際に誰が使うのか**
モバイルREエンジニア、モバイルアプリのセキュリティ監査人、ペネトレーションテスター、モバイルマルウェア解析者、ゲームREコミュニティ。韓国のモバイルペンテスト会社(CodeCheck・SecurityFirst)、日本のモバイルセキュリティ研究者はFridaなしでは仕事にならない。iOS REでは事実上の標準。
**2026年価格**
0円。
第11章 · Cheat Engine — ゲームメモリ編集の生きた伝説
**ベンダー・ライセンス**
オランダのEric "Dark Byte" Heijnenが2000年から続けているWindowsゲームメモリエディタ。部分的にオープンソース(ソースはGitHubのcheat-engine/cheat-engine、一部ライセンス制限あり)。
**強み**
「ゲーム内のゴールドを1,000に変えたい」が一行で可能。メモリスキャン → 値の変化追跡 → ポインタチェーン解析 → トレーナー作成までを一つのGUIで完結。Luaスクリプティングが強力。アンチチートが妨害しない限り、ゲームREでもっとも速いツール。デバッガ機能も内蔵しており、ゲームに限ってはOllyDbg風の作業もできる。
**弱み**
名前のせいでアンチウイルスが自動隔離するケースが多い。アンチチート(VAC・BattlEye・EasyAntiCheat・Vanguard)が積極的にCheat Engineをブロックする — マルチプレイで使えばアカウント停止。Windows専用。合法性はゲームごとに異なる(シングルプレイは基本OK、マルチは絶対不可)。
**実際に誰が使うのか**
シングルプレイゲームのモッダー、ゲームRE学習者、アンチチートエンジニア(攻撃者視点を理解するため)、一部のセキュリティ研究者。韓国・日本のゲームセキュリティ会社が「攻撃者視点」を理解する目的で社内利用する。
**2026年価格**
0円(寄付推奨)。
第12章 · Wireshark — ネットワーク層のRE
**ベンダー・ライセンス**
Gerald Combsが1998年にEtherealとして開始、2006年にWiresharkへ改名。GPL 2。現在はWireshark Foundationがメンテナ。
**強み**
ネットワークパケットキャプチャ・解析の事実上の標準。WiFi・イーサネット・Bluetooth・USB・CANバスまでキャプチャできる。2,000以上のプロトコル分解器(dissector)が組み込み — TLS 1.3、HTTP/3 QUIC、gRPC、MQTT、Modbus、BACnetなど。キャプチャファイル(.pcap、.pcapng)は業界標準。tshark CLIで自動化も可能。2026年にはTLS 1.3デコード(事前共有鍵・SSLKEYLOGFILE使用)とHTTP/3分解器が安定した。
**弱み**
TLSデコードは鍵がないとできない — つまりクライアントの協力が必要。モバイルトラフィックはMITMプロキシ(mitmproxy・Burp・Charles)の方が便利な場合が多い。UIは1990年代GTKの雰囲気を抜け出せない(2025年からQt 6への移行が進行中)。
**実際に誰が使うのか**
ネットワークRE、マルウェアC2解析、IoTプロトコルRE、モバイルトラフィック解析、組み込みRE。韓国KISA・金融セキュリティ院の侵害分析チーム、日本JPCERTのマルウェアトラフィック解析チームがWiresharkを標準ツールにする。
**2026年価格**
0円。
第13章 · CTFツールチェーン — Pwntools / Pwndbg / GEF
**Pwntools (Gallopsled)**
Pythonエクスプロイト開発フレームワーク。2013年頃から。MIT。`from pwn import *` 一行でprocess・remote・ELF・ROP・shellcraft・loggingがすべて入る。CTFの「pwn」カテゴリでは事実上の標準import。韓国のLeaveCat・KaisaHack、日本のTokyoWesternsといったチームが日常的に使う。
**Pwndbg (pwndbgプロジェクト)**
GDBプラグイン。エクスプロイト開発向けに表示を強化 — heap状態、ROPガジェット、メモリマッピング、キャッシュ済みtelescope。`heap`コマンドでglibc heapチャンクが視覚化される。MITライセンス。2026年現在、GEFと並ぶGDBプラグインの二大巨頭。
**GEF (GDB Enhanced Features, hugsy)**
もう一つのGDBプラグイン。単一のPythonファイルで導入できる。機能はPwndbgと重なるが、「1ファイルで入る軽さ」が強み。ARM・MIPS・PowerPCサポートはPwndbgより良い。韓国・日本のCTFシーンではARM課題解析でGEFを好む傾向。
**併用パターン**
「GDB + Pwndbg(またはGEF)+ Pwntools」がCTF pwn課題の標準セットアップ。バイナリ解析はGhidraやBinary Ninja、動的デバッグはGDB + Pwndbg、エクスプロイト記述はPwntools。
from pwn import *
context.arch = 'amd64'
context.log_level = 'debug'
p = process('./vuln')
elf = ELF('./vuln')
payload = b'A' * 40
payload += p64(elf.sym['win'])
p.sendline(payload)
p.interactive()
40バイトバッファをあふれさせた後、`win`関数へジャンプするだけの最もシンプルなROPエクスプロイト。2010年代後半から2026年まで、入門pwnのコードはほとんど変わっていない。
第14章 · エンジン層 — Capstone / Keystone / Unicorn / QEMU
この4つは他ツールの土台。REを始めると必ず何度もぶつかる。
**Capstone (Aquynh、元COSEINC → 独立財団)**
2014年公開。BSD。マルチアーキテクチャ・ディスアセンブラエンジン。x86・ARM・MIPS・PowerPC・SPARC・SystemZ・XCore・M68K・M680X・RISC-V・BPF・EVM・6502まで。Python・Java・Ruby・Go・C#バインディング。radare2・angr・Frida・Cuckoo Sandbox・Volatility・BAPはすべてCapstoneの上に立つ。
**Keystone (同チーム)**
Capstoneの対。2016年公開。BSD。マルチアーキテクチャ・アセンブラエンジン。Capstoneが「バイト → アセンブリ」ならKeystoneは「アセンブリ → バイト」。エクスプロイトペイロード生成・shellcode作成に必須。
**Unicorn (同チーム)**
2015年公開。GPL 2。マルチアーキテクチャCPUエミュレータ。QEMUのTCGエンジンを剥がして「プロセスでもシステムでもない、ただCPUだけ」をエミュレートする。FridaがStalker(コードトレーサ)内で部分的に利用。angrも一部呼び出す。shellcode検証、アンパック、VM型難読化解除に使う。
**QEMU (Fabrice Bellard → 独立財団)**
1999年開始、システムエミュレーションの事実上の標準。GPL 2。ファームウェアREで絶対的存在 — IoTデバイスのARM/MIPSファームを抽出してQEMUで起動し、gdbserverでデバッグ。ファームウェアREを一度でも経験した人はQEMUなしで生きていけない。FirmAEやFirmadyneのような自動ファームウェアエミュレーションツールはQEMUの上に乗っている。
**なぜ知っておくべきか**
Ghidra・Binary Ninja・angr・Fridaが良いと言っても、その内部でディスアセンブル結果が変なら結局Capstoneのバージョン・オプションを確認する羽目になる。エクスプロイト作成中shellcodeのエンコーディングが壊れたらKeystoneのオプションを見る。ファームウェアが解けなければQEMUのマシンモデルを見る。結局、この4エンジンがRE全体の基盤になっている。
第15章 · LLM支援RE — Binary Ninja Sidekick / IDA Decompiler AI / GhidraMCP
2024〜2026年の最大の変化は、LLMがREワークフローに入ってきたこと。方向性は3つある。
**(a) デコンパイラ結果のリネーム/コメント**
最も安定したLLM活用。意味のない`sub_401000`・`v1`・`v2`変数名を持つデコンパイラ出力をLLMに送り、「この関数の意味を推論して関数名・変数名・コメントを自動生成」してもらう。Binary Ninja Sidekick、IDA ProのDecompiler AIプラグイン、Ghidra用のGhidraMCP・G-3PO・sidekick-for-ghidraがすべてこれをやる。Claude 3.7/4、GPT-5、Gemini 2.0は日本語・韓国語の関数名もまずまずの精度で生成する。
**(b) 自然言語で解析質問**
「この関数は何をしてそう?」「なぜこの分岐に入らない?」「このパッカーはどう解く?」を自然言語で尋ね、LLMがデコンパイラ出力をコンテキストとして答える。MCP連携が入ると、LLM自身がGhidra・IDA・Binary NinjaのAPIを直接呼んで変数名を変えたり新しい関数を定義したりできる。
**(c) エクスプロイト・脆弱性の自動探索**
実験的段階。CGC時代のangr的シンボリック実行の上にLLMヒューリスティクスを載せる構図。2026年現在「本番で自動的にエクスプロイトを見つける」レベルにはない — だが人間のREエンジニアを補助する水準には達した。
**限界と注意点**
LLMはデコンパイラの擬似コードを見て推論する。デコンパイル自体が間違っていれば、LLMはもっともらしくより間違える。インライン展開された関数、vtable、難読化コードでは「もっともらしいが間違った」関数名を提示する。検証せず受け入れると危険。実務REワークフローでは「LLMが提案した名前を人が再検証する」が標準。
第16章 · 韓国 / 日本 — KAIST, KISA, AIST, JPCERT, FFRIセキュリティ
**韓国 — 学界・政府・業界のREエコシステム**
KAISTのSoftSec・SysSecラボがRE・脆弱性研究の学術中心。POSTECH・高麗大セキュリティ部(Lazy・KUICS)、ソウル大SNU CSEセキュリティラボが中核の人材供給源。CTFシーンはKaisaHack(KAIST)・LeaveCat・Cykor(高麗大)・Goblins・PLUSがDEFCON CTF・Codegate本戦に頻繁に進出。国家機関ではKISA(韓国インターネット振興院)が侵害事故解析・マルウェア解析レポートを定期発行 — Ghidra・IDA Pro・Wiresharkがそのスクリーンショットの定番。業界では国内1位のアンチウイルスAhnLab、ペネトレーションテストのRAONWHITEHAT、マルウェア解析のS2W、グローバルセキュリティコンサルのTheori(米韓本社)がRE人材を採用。TheoriはBinary Ninja上に独自ツールを積むことで有名。
**日本 — より保守的で学術色が強い**
産業技術総合研究所(AIST)のサイバーセキュリティ研究センターが学術・政府の中心。JPCERT/CCがKISAに相当。業界ではFFRIセキュリティが最も知られたREの専門企業 — 自社EDR・マルウェア解析・脆弱性研究。LAC、NTT-CERT、トレンドマイクロ東京ラボ、日本IBM SecurityがRE人材を採用。大学では早稲田SecCap、慶應のセキュリティ講義、東大の情報セキュリティ講義が存在。CTFは国際強豪TokyoWesternsとSutegoma2が有名。日本最大のCTFはSECCON CTF。
**ツール選好の微妙な差**
韓国の政府・金融はIDA Proライセンスを保有して仕事をする現場が今も多い(予算がある領域)。学生・研究者はGhidra。モバイルREは日韓どちらもFrida + Hopper。日本はOllyDbgの後継としてx64dbgへの移行が韓国より少し遅め — シニア解析者がOllyDbgを長く使い続ける傾向。ファームウェアREは日韓ともにradare2 + QEMUの組み合わせがシェアを伸ばしている。
第17章 · 誰が何を選ぶべきか — 判断ツリー
**学生 / 入門者**
Ghidra + GDB + Pwndbg/GEF。0円で一通り揃う。CTFに参加するならPwntoolsを追加。モバイルに興味があればFridaを追加。IDA Proは就職すれば自然に出会う。
**CTFプレイヤー**
Ghidra(高速静的解析)+ Binary Ninja(API経由で課題毎の自動化スクリプト)+ GDB + Pwndbg/GEF + Pwntools。Binary Ninja Personalの\$300は本気のCTFプレイヤーには十分回収できる。angrは「パスワード検証バイパス」のような課題で時々魔法のように解いてくれる。
**モバイルRE (Android/iOS)**
Frida + Objection + Hopper(macOS/iOS)+ Ghidra(Android APKネイティブ・ELF)。Burp Suite・mitmproxyを追加。iOSはjailbreak端末(またはCorelliumクラウド)+ Hopper + Fridaが標準。Androidはjadx(Javaデコンパイラ)+ Ghidra(ネイティブライブラリ)+ Frida。
**ファームウェア / IoT RE**
radare2 + Cutter + QEMU + Ghidra。binwalk(ファーム抽出)、FirmAE/Firmadyne(自動エミュレーション)。シリアル・JTAGハード側のデバッグが必要ならOpenOCD・Saleaeロジックアナライザを追加。Wiresharkは常時起動。
**Windowsマルウェア解析**
IDA Pro(予算があれば)またはGhidra + x64dbg + Wireshark。ScyllaHide(アンチ・アンチデバッグプラグイン)。Cuckoo SandboxやANY.RUNのような自動解析環境。PE-bear・CFF ExplorerのようなPEパーサ。
**プロのREエンジニア (政府・防衛・金融・ゲームセキュリティ)**
IDA Pro + Hex-Raysデコンパイラのフルライセンス + Binary Ninja(補助)+ Ghidra(セカンドオピニオン)+ x64dbg + Frida + Wireshark + Pwntools(時々)。会社が\$15,000のIDAフルライセンス代を出してくれる。韓国・日本の政府系契約者ではIDAが標準。
**セキュリティ研究者 / 脆弱性ハンター**
Binary Ninja(API自動化)+ Ghidra(セカンドオピニオン)+ angr/Triton(シンボリック)+ Frida(動的)+ AFL++/libFuzzer(ファジング)+ Pwntools(エクスプロイト)。LLMは補助としてのみ使い、出てきたものは必ず人が検証。
**最もよくある間違い**
「IDA Proさえあれば全部解決する」と信じること、あるいは逆に「Ghidraが無料なのだからIDA Proライセンスは無駄」と信じること。本物のプロREエンジニアはIDA・Ghidra・Binary Ninjaを全部入れ、同じ関数を3ツールで見比べてどれが一番正確かを判定する。デコンパイラは常に間違える — どちらの方が「より少なく間違えるか」のゲームである。
参考 / References
- [Ghidra GitHub — National Security Agency](https://github.com/NationalSecurityAgency/ghidra)
- [Ghidra Official Site](https://ghidra-sre.org/)
- [IDA Pro — Hex-Rays SA](https://hex-rays.com/ida-pro/)
- [IDA Pro Pricing — Hex-Rays](https://hex-rays.com/buy)
- [Binary Ninja — Vector 35](https://binary.ninja/)
- [Binary Ninja Sidekick — AI assistant](https://sidekick.binary.ninja/)
- [radare2 GitHub](https://github.com/radareorg/radare2)
- [Cutter — Qt UI for radare2](https://cutter.re/)
- [x64dbg GitHub](https://github.com/x64dbg/x64dbg)
- [OllyDbg Official Site](https://www.ollydbg.de/)
- [Hopper Disassembler](https://www.hopperapp.com/)
- [angr — UCSB SecLab](https://angr.io/)
- [Triton — Quarkslab](https://triton-library.github.io/)
- [KLEE Symbolic Execution Engine](https://klee-se.org/)
- [Frida — Dynamic Instrumentation Toolkit](https://frida.re/)
- [Cheat Engine GitHub](https://github.com/cheat-engine/cheat-engine)
- [Wireshark Official Site](https://www.wireshark.org/)
- [Pwntools — Gallopsled](https://github.com/Gallopsled/pwntools)
- [Pwndbg GitHub](https://github.com/pwndbg/pwndbg)
- [GEF — GDB Enhanced Features](https://github.com/hugsy/gef)
- [Capstone Disassembler Engine](https://www.capstone-engine.org/)
- [Keystone Assembler Engine](https://www.keystone-engine.org/)
- [Unicorn CPU Emulator](https://www.unicorn-engine.org/)
- [QEMU Official Site](https://www.qemu.org/)
- [GhidraMCP — Ghidra MCP integration](https://github.com/LaurieWired/GhidraMCP)
- [KAIST SoftSec Lab](https://softsec.kaist.ac.kr/)
- [KISA — Korea Internet & Security Agency](https://www.kisa.or.kr/)
- [JPCERT/CC](https://www.jpcert.or.jp/)
- [FFRI Security](https://www.ffri.jp/)
- [SECCON CTF Japan](https://www.seccon.jp/)
- [Codegate CTF Korea](https://www.codegate.org/)
현재 단락 (1/220)
2019年3月、NSAがRSAカンファレンスでGhidraをApache 2.0として公開した。あの一発の発表が、リバースエンジニアリング市場の30年来の均衡を崩した。それまでIDA Proのライセン...