Capstone是一款开源的反汇编框架，目前该引擎支持的CPU架构包括x86、x64、ARM、MIPS、POWERPC、SPARC等，Capstone的特点是快速、轻量级、易于使用，它可以良好地处理各种类型的指令，支持将指令转换成AT&T汇编语法或Intel汇编语法等多种格式。Capstone的库可以集成到许多不同的应用程序

 判断指令类型aarch64_insn_is_##abbr(u32code)@code为32bit的asm指令kernel\5.15\arch\arm64\include\asm\insn.h#define__AARCH64_INSN_FUNCS(abbr,mask,val)\static__always_inlineboolaarch64_insn_is_##abbr(u32code)\{

CatCTF2022BugCat复现脱壳拿到题目，发现题目是套了壳子的，经过检查发现是UPX改，使用x32dbg进行调试，在TLS回调中过掉下图所示的对start函数头部是否存在断点的检测。

eBPF介绍BPF（BerkeleyPacketFilter）使普通用户拥有了让啮合执行用户代码并共享数据的能力。用户可以讲eBPF指令直接码传输给内核，然后通过socket写时间来触发内核执