一条命令查出 Electron 应用包是否被动手脚REA ASAR 完整性校验快速指南【免费下载链接】reaReverse engineer anything with agents, from app behavior down to native binaries.项目地址: https://gitcode.com/GitHub_Trending/rea2/rea拿到一个桌面应用安装包不确定它是否被篡改过REA 的ASAR 完整性校验能一步给出答案它把 Electron 应用包app.asar里每个文件声明的 SHA-256 和真实字节逐条比对有出入就指出是哪个文件全程不执行任何一行应用代码。先说清楚ASAR 包为什么容易被改Electron 应用会把全部前端代码和资源打进一个 ASAR 归档通常是app.asar本质是文件清单 拼接的字节流。清单和字节流是分开的攻击者改某个 JS 文件里的几个字节逻辑就变了包外表却看不出差别。常见套路就三种清单没动、内容字节被替换.asar.unpacked伴生目录里的文件常放原生插件.node被调包整个包被重新打包头部结构或大小变了。检测思路只有一条声明的哈希和实际算出来的哈希逐个文件对上。这正是 REA 在做的事。一条命令跑起来先按 安装说明 把 REA 装好不想装全局的话也可以用npx -y rea-agentslatest直接跑。然后把目标应用目录里的app.asar交给它rea analyze /absolute/path/to/apps/app.asar --json这条命令会自动走 JavaScript 静态分析路线返回应用图、Electron 边界摘要和完整性校验结果--json让结果可落盘、可存档。想显式指定路线用rea analyze-javascript-application参数与输出细节见 CLI 指南。不需要浏览器也不需要连接目标应用。校验结果怎么读 结论是一张状态表不是长篇大论对着看就行结果状态含义下一步动作✅ 全部一致包内容与声明的完整性元数据相符无篡改证据把本次 SHA-256 存为基线日后可比⚠️ integrity 失败声明哈希与实际字节矛盾或读取期间包被换过按逻辑路径定位文件回官方渠道重新下载hash_status: unavailable声明了 unpacked 伴生文件但字节缺失缺失字节被如实记为 unknown补全文件后再验format 失败头部结构或条目偏移、长度越界归档本身损坏或被整体重打包每条 integrity 失败都会带上三样东西逻辑路径包内哪个文件出问题、声明值 vs 计算值两个 SHA-256 并排给出、是否 unpacked 条目判断问题在包内还是伴生目录足够你直接定位。校验背后四个设计决定不用读源码也能用但知道边界会更能放心声明值要先过审头部元数据只有在算法是 SHA256 且哈希为 64 位十六进制时才被当作声明值否则留空不当作有声明。先查边界再流式哈希读取前先校验条目的偏移和长度没有越过归档边界然后按字节范围流式读取、边读边算 SHA-256核心在 AsarArtifactReader.ts。unpacked 不是免检通行证伴生目录的字节同样要和归档声明的完整性值比对读取时还会防符号链接逃逸出伴生目录。防边读边被换打开归档时会先做快照读取前再核对容器大小和文件标识期间包被二次替换会报完整性失败而不是静默通过。伴生字节缺失时REA 会继续分析包内嵌入的 JavaScript缺失部分记为 unknown——既不假装通过也不假装文件不存在详见 JavaScript 工件重建文档 的 What is reconstructed 章节。进阶发现篡改后想继续分析默认策略是fail任何不一致立即返回失败。想记录不一致但继续分析其余文件显式选择另一个策略rea analyze-javascript-application /absolute/path/to/app.asar \ --integrity-policy record-and-continue --json这样已校验通过的文件照常分析每个不一致项都保留声明/计算哈希记录应用图覆盖标记为 partial受影响路径全部列入 limitations。结果契约见 MCP 合约 的 Integrity record-and-continue 章节。常见疑问问校验需要运行目标应用吗不需要。全程静态读字节、算哈希、对声明。重建路径不用eval、Function也不碰 DOM不跑应用的引导代码对可疑样本安全。问手上没有哈希工具能直接看差异吗可以。结果直接给出声明值与实际值的差异不用你手动算 SHA-256。问官方包和可疑包怎么并排对比两次结果各存成 JSON用rea evidence-import导入、rea compare对两个证据包做比对即可。问缺了伴生文件结果还算可信吗算。缺失字节被标记为 unknown 而不是已验证结论不会因此虚高。查包是否被改说到底就是回答一个问题真实字节流和声明的哈希还对得上吗。REA 的 ASAR 完整性校验把这件事压成一条命令——包内文件和 unpacked 伴生目录都覆盖、读取期间的替换防得住、缺字节如实标记结果可信、可直接存档比对。【免费下载链接】reaReverse engineer anything with agents, from app behavior down to native binaries.项目地址: https://gitcode.com/GitHub_Trending/rea2/rea创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考
