1.1 목적과 범위

이 문서는 Windows(PE)와 Linux(ELF) 실행 파일을 디스어셈블하여 분석할 때 쓰이는 대표 역공학 도구와 라이브러리를 조사하고, 각 도구의 특징·장단점·적합한 용도를 비교합니다. 요청에 따라 Ghidra와 Capstone은 가장 상세하게 다루며, 모든 도구에 대해 바로 복사해 쓸 수 있는 기본 템플릿(skeleton) 코드를 수록했습니다.

버전 번호와 가격은 작성일(2026-10-21) 기준이며, 상용 도구의 가격은 자주 바뀌므로 구매 전 공식 페이지에서 다시 확인해야 합니다.

1.2 도구 분류

역공학 도구는 역할에 따라 크게 다섯 범주로 나눌 수 있습니다. 실제 분석에서는 한 도구만 쓰기보다 범주가 다른 도구를 조합하는 경우가 대부분입니다.

1.3 핵심 용어

•    디스어셈블(Disassemble): 기계어를 어셈블리 명령어로 변환. 방식에 따라 선형 스윕(linear sweep, objdump·Capstone 기본 사용법)과 재귀 하강(recursive descent, Ghidra·IDA 등 통합 도구)이 있습니다. 재귀 하강 방식은 코드 사이에 섞인 데이터를 잘못 해석하는 문제가 적습니다.

•    디컴파일(Decompile): 어셈블리를 C와 비슷한 의사 코드(pseudo-code)로 복원. Ghidra·IDA(Hex-Rays)·Binary Ninja·angr가 자체 디컴파일러를 제공합니다.

•    중간 표현(IR): 아키텍처에 독립적인 명령 표현. Ghidra의 P-code, Binary Ninja의 BNIL(LLIL/MLIL/HLIL), angr의 VEX, radare2의 ESIL 등이 있으며, 여러 CPU를 같은 방식으로 분석하게 해 줍니다.

•    Headless 분석: GUI 없이 스크립트로 분석을 실행하는 방식. 대량 샘플 처리, CI 파이프라인 연동에 필요합니다.

2.1 기본 정보 비교

2.2 기능 평가 매트릭스

아래 평가는 조사 내용과 일반적인 사용 경험을 종합한 상대적·주관적 평가입니다(●5단계, 많을수록 우수). 비용 항목은 저렴할수록 점수가 높습니다.

==== (중략) ====

4.1 권장 조합 워크플로우

•    트리아지: pefile/LIEF로 헤더·섹션 엔트로피·임포트 확인 → 패킹 여부 판단.

•    정적 분석: Ghidra(또는 IDA/Binary Ninja)로 자동 분석 후 핵심 함수 디컴파일·이름 정리.

•    동적 확인: x64dbg(Windows) 또는 GDB+pwndbg(Linux)로 의심 지점에 브레이크포인트, 언패킹·복호화 결과 덤프.

•    자동화: 반복 작업은 PyGhidra/idalib/Binary Ninja API로 스크립트화. 경량 처리는 Capstone + LIEF.

•    심화: 특정 조건 입력 탐색은 angr 심볼릭 실행, 에뮬레이션은 Unicorn.

Ghidra는 무료이면서도 상용 도구에 근접한 디컴파일러, 폭넓은 프로세서 지원, 강력한 headless 자동화를 갖춰 대부분의 조직에서 기본 분석 플랫폼으로 삼기에 충분합니다. 단, Java 기반의 무게와 UI 학습 비용, Jython→PyGhidra 전환기에 따른 스크립트 호환성 문제를 고려해야 합니다.

Capstone은 완성된 분석 도구가 아니라 '부품'입니다. 직접 도구를 만들거나 다른 시스템에 디스어셈블 기능을 넣을 때 가장 무난한 선택이며, 포맷 파서(LIEF 등)와 결합해 사용합니다. x86 정확도가 특히 중요하면 Zydis·iced-x86을, 다중 아키텍처가 중요하면 Capstone을 고르는 것이 일반적입니다. 6.0 정식판 출시 전까지는 5.0.x 안정판 사용을 권장합니다.

예산이 있고 분석 품질·속도가 최우선이면 IDA Pro, 자동화·연구 중심이면 Binary Ninja가 강점이 있으며, 동적 분석은 플랫폼에 따라 x64dbg 또는 GDB를 함께 쓰는 구성이 실무에서 가장 많이 쓰입니다.

문서에 수록한 템플릿 중 다음 항목은 Linux(x86-64, Python 3.13) 환경에서 직접 실행해 동작을 확인했습니다. 테스트 대상은 gcc로 빌드한 ELF 바이너리와 Windows x64 PE 실행 파일입니다.

•    Ghidra GitHub 릴리스 — https://github.com/NationalSecurityAgency/ghidra/releases

•    Ghidra 12.1 What's New — https://github.com/NationalSecurityAgency/ghidra/blob/master/Ghidra/Configurations/Public_Release/src/global/docs/WhatsNew.md

•    PyGhidra (PyPI) — https://pypi.org/project/pyghidra/

•    Capstone 릴리스 이력 — https://releasealert.dev/github/capstone-engine/capstone

•    Capstone v6 Release Guide — https://github.com/capstone-engine/capstone/blob/next/docs/cs_v6_release_guide.md

•    Hex-Rays 가격 정책 — https://hex-rays.com/pricing

•    IDA 9.3 출시 공지 — https://community.hex-rays.com/t/release-ida-9-3-is-live/671

•    IDA 9.4 베타 공지 — https://hex-rays.com/blog/ida-9.4-beta-is-now-available

•    Binary Ninja 구매/에디션 — https://binary.ninja/purchase/

•    Binary Ninja 6.0 가격 변경 — https://binary.ninja/2026/07/28/pricing-changes.html

•    Binary Ninja 공지(6.0 Krypton) — https://binary.ninja/tag/announcements/

•    radare2 6.2.0 릴리스 — https://newreleases.io/project/github/radareorg/radare2/release/6.2.0

•    Rizin 2025 Summary — https://rizin.re/posts/year-2025-summary/

•    x64dbg 릴리스 — https://github.com/x64dbg/x64dbg/releases

•    angr (PyPI) — https://pypi.org/project/angr/

•    LIEF (PyPI) — https://pypi.org/project/lief/

•    iced-x86 (PyPI) — https://pypi.org/project/iced-x86/

•    Zydis — https://github.com/zyantific/zydis