Como fiz engenharia reversa de qualquer app com Claude Code em 10 minutos

Autoria: Edwin Chen | AI Automation · Assistir no YouTube

Vídeo de autoria do canal indicado, não da IANIA; todos os direitos pertencem ao criador. Transcrição, resumo e tradução gerados automaticamente; o conteúdo no idioma original é preservado na versão em idioma original.

Idioma original: inglês

Vídeo original: How I Reverse Engineered Any App with Claude Code in 10 Minutes · Canal: Edwin Chen | AI Automation · 08:13 · Assistir no YouTube

Tópicos: Agentes de IA, Automação de tarefas e workflows, Cibersegurança e segurança de software, Claude Code, Privacidade e proteção de dados

Resumo

O vídeo demonstra o uso do repositório RGA para analisar um aplicativo sem acesso ao código-fonte e recriar uma de suas funcionalidades com Claude Code. O apresentador examina como um app de notas exporta dados para CSV e pede a Claude que implemente a mesma função em outro projeto. Depois, usa a ferramenta para analisar o design e as informações expostas pelo próprio site. O vídeo também alerta para os riscos legais de fazer engenharia reversa de softwares comerciais e discute como é difícil regular esse tipo de prática.

Pontos-chave

RGA é apresentado como um repositório que ajuda agentes de programação a analisar aplicativos sem acesso ao código-fonte.
A instalação é feita pelo terminal, com a configuração do agente e de ferramentas para análise de binários.
No exemplo do app de notas, Claude Code rastreia o fluxo de exportação para CSV e apresenta evidências das etapas.
Com base na análise, Claude Code recria a funcionalidade de exportação em outro projeto e o apresentador testa o resultado.
O apresentador alerta que a engenharia reversa de softwares comerciais pode violar políticas e trazer riscos legais.
A análise do site identifica elementos visuais, informações técnicas e dados potencialmente expostos.
O vídeo sugere usar os relatórios de análise como referência para criar um site próprio, mas ressalta preocupações com o uso e a regulação da engenharia reversa.

Capítulos

Início	Capítulo	Resumo
00:00	Apresentação do RGA e instalação	O apresentador introduz o repositório e mostra como configurá-lo no terminal com Claude Code.
02:03	Análise e recriação da exportação para CSV	Claude Code rastreia o fluxo de exportação do app de notas, e o apresentador testa uma implementação recriada.
04:36	Riscos da engenharia reversa	O apresentador alerta que analisar softwares comerciais pode contrariar políticas e trazer riscos legais.
05:07	Análise do site e considerações sobre regulação	O RGA produz um relatório sobre o design e as informações do site, levando a uma discussão sobre os limites e a regulação da engenharia reversa.

Citações

Ele permite que Claude Code ou Codex abra um app sem código-fonte, descubra como uma funcionalidade funciona e crie sua própria versão. — 00:00

Usando o que você acabou de descobrir, implemente a mesma função de exportação neste projeto. Escreva seu próprio código; não copie este. — 03:05

Se você quiser fazer engenharia reversa de software comercial, tenha cuidado. — 04:36

Como você controla o que as pessoas podem fazer? — 07:43

Conceitos e entidades

RGA (repo): Repositório apresentado no vídeo para analisar aplicativos e sites e documentar como funcionam.
Claude Code (ferramenta): Agente de programação usado para examinar o app de notas e recriar a funcionalidade de exportação.
Codex (ferramenta): Agente de programação mencionado como alternativa para trabalhar com o RGA.
Hopper Disassembler (ferramenta): Ferramenta de análise de binários cuja instalação é oferecida durante a configuração do RGA.
Electron (ferramenta): Tecnologia usada pelo app de notas que o apresentador testa e cuja funcionalidade é recriada.
Edwin Chen | AI Automation (pessoa): Canal indicado como autor do vídeo.

Tradução completa (pt-BR)

00:00 Há um repo no GitHub que explodiu na semana passada e passou de 70.000 estrelas. Ele se chama RGA, reverse engineer any app. E permite que o Claude Code ou o Codex abra um app sem código-fonte, descubra como um recurso funciona e crie uma versão própria para você. Então, neste vídeo, vou configurá-lo e fazer três projetos do início ao fim. Primeiro, vou rastrear um recurso dentro de um app para desktop que criei e, depois, vou recriar esse recurso no meu próprio projeto. E, no último, vou apontá-lo para meu próprio site no ar só para ver o que qualquer pessoa

00:31 conseguiria extrair dele. Se você não sabe quem eu sou, meu nome é Edan Shah. Tenho minha própria agência de IA, a Like Say I, há dois anos, atendendo a mais de 52 clientes diferentes no mundo todo. Vamos direto ao assunto. Certo, a primeira coisa que você precisa fazer é acessar github.com/Modelar/RGA. Esse é, na verdade, o repo do GitHub que vai viabilizar tudo o que vamos abordar neste vídeo. A primeira coisa que você precisa fazer é abrir o terminal. Certo. Depois, copie este comando. Basta copiar npx RGA

01:02 agent setup. Depois, é só responder: “Quer continuar?”. Clique em sim. Aqui, você pode escolher qual agente de programação quer configurar para o repo. Vou escolher o Claude Code. Instalar o Hopper para análise binária aprofundada. Sim. Sim, aplicar. Agora vamos esperar a instalação terminar. Mas aparece: “Olá, obrigado pelo interesse no Hopper Disassembler. Infelizmente, não tenho o arquivo de licença, então vou ignorar isso por enquanto.” Vou clicar em “Try Demo”.

01:33 Feche isto. Agora, ele deve estar instalado. Então, se eu abrir meu app do Claude Code — vou ao app Claude e clico em Claude Code —, posso escolher uma pasta. Já tenho uma pasta. Vou acessar Downloads, depois RGA demo e, em seguida, meu app de notas. Vou clicar em “Trust Workspace”, e agora o Claude tem acesso a este workspace. Já tenho o app de notas instalado, então é basicamente um app de notas que posso executar. O primeiro prompt que quero

02:03 dar ao Claude é basicamente: “Use o RGA para descobrir o que acontece quando exporto notas neste app. Onde está o CSS que criamos? Mostre as evidências de cada etapa. O app está neste diretório em Downloads: RGA demo notes example.” A propósito, esse diretório é literalmente só um app de notas, onde você pode digitar qualquer anotação e depois exportá-la para CSV. Eu já criei o app, mas não passei o código-fonte dele para o Claude. Agora você pode ver que ele está executando uma skill chamada {barra} reverse engineer anything, que vem do

02:34 repo, certo? Agora ele vai listar os arquivos do app-alvo, localizar as ferramentas, analisar o app JavaScript e, em seguida, imprimir todos os arquivos de código-fonte do app com números de linha e tentar fazer a engenharia reversa do aplicativo inteiro. Dá para ver que ele rastreia as chamadas, gera gráficos e, de fato, escreveu o CSV. Ele consegue explicar todo o fluxo de exportação. Diz que você clica no botão de exportação, depois clica no botão, que chama esta função, e aguarda o resultado. Em seguida, o script preload expõe window.notesCSV e, então, ele vai para o

03:05 processo principal, cria um caminho de saída, gera o texto do CSV e grava o arquivo com esta função. Depois, o caminho é retornado a esta página. Você também tem os diferentes IDs de evidência etc. Isso é interessante porque ele sabe exatamente como exportar o arquivo CSV. Agora que tem esse conhecimento, vou pedir que reproduza o aplicativo inteiro. Vou dizer: “Com base no que você acabou de descobrir, implemente o mesmo recurso de exportação no projeto desta pasta. Escreva seu próprio código, não copie este. Depois, execute-o para que eu possa clicar em exportar e conferir o

03:35 arquivo.” Então, estou pedindo que ele recrie o app de notas. >> [limpa a garganta] >> Certo, parece que o Claude acabou de terminar de criá-lo, ou pelo menos está iniciando. Ele está iniciando o app de notas em Electron e terminou de criar ou replicar o recurso de exportação para CSV do app de notas. Se eu clicar no app Electron, vejo algumas notas de exemplo aqui. Posso adicionar uma nova nota, por exemplo, “alarme, 9h”. Depois, clico em adicionar. A nota foi adicionada com sucesso. Se eu quiser exportar para

04:05 CSV, a exportação é concluída com sucesso. Então, se eu clicar… Agora, se eu abrir Downloads e clicar no arquivo CSV, como você pode ver, ele gerou o arquivo que pode ser aberto no Excel, com o ID, o título e a data de criação. Ele mapeou com sucesso e fez a engenharia reversa dessa função de exportação para CSV. Então, deu certo. Ele analisou o app de notas e depois o recriou com uma função de exportação. Claro que este é um app muito, muito simples, mas você pode facilmente estender isso a qualquer software que quiser. Mas é aqui que você precisa ter

04:36 cuidado. Se quiser fazer engenharia reversa de software comercial, como o Notion, o HubSpot ou outro CRM, existem políticas explícitas contra pessoas que tentam fazer engenharia reversa. Então, tecnicamente ou legalmente, você não tem permissão para fazer isso. Se fizer, estará assumindo o risco de violar as políticas deles. Isso é só um aviso. Tenha cuidado. Não exagere. Claro, se quiser, pode ser criativo, mas precisa tomar cuidado, certo? Agora, o que quero que você faça é tentar algo mais interessante. Deixe-me fechar este

05:07 app Electron e fechá-lo, e vamos tentar algo muito mais interessante: fazer isso no meu site. Vamos ver se ele consegue fazer engenharia reversa do design do meu site. Este é o meu site atual. Como você pode ver, ele tem um design bem retrô. Bem, bem retrô. Quero ver se este repo consegue mesmo fazer a engenharia reversa. Vou dizer: “Use o RGA para inspecionar esta página do site. Quais designs foram usados? Avise-me quando começar a observar, para que eu possa clicar. Depois, escreva tudo o que uma pessoa de fora poderia descobrir nesta página em um relatório de exposição do HTML.”

05:38 Digamos que você queira mesmo usar como referência o estilo de design do meu site. É assim que você pode fazer isso. Com sorte, usando o RGA, o Claude conseguirá fazer uma espécie de engenharia reversa dos princípios de design usados para criar este site. Ficou muito, muito bom. E ele realmente escreveu um relatório aqui. Isso é muito impressionante. Temos o design, as fontes do design, as cores e os detalhes característicos. Vamos ver o que ele disse. Basicamente, ele diz que os dados dos candidatos ficam em um banco de dados do Supabase que o site público consegue

06:10 acessar. Isso é parcialmente verdade, mas ativei a segurança em nível de linha. Então, ele tem a chave AON, mas configurei tudo para que não consiga fazer nenhuma consulta de seleção. Isso confirma que nosso acesso está ativado. Como a segurança em nível de linha está ativada, pessoas comuns não podem simplesmente ler esse banco de dados e, portanto, não conseguem ver os detalhes dos candidatos ao programa de coaching. Ótimo. A base oculta e o “not” oculto — sim, isso basicamente se refere a 30 dias. Temos um desafio de 30 dias que será anunciado em breve, e ele é

06:41 anunciado apenas por seleção. Então, ninguém pode fazer uma consulta de seleção. Deixei o link propositalmente sem ocultá-lo, mas ele é bem complicado. Se quiser encontrá-lo, você consegue, mas ele não vai fazer nada por você. Quanto a adivinhar os e-mails, tudo bem. Pode tentar adivinhar meu e-mail. Ele também menciona cabeçalhos de segurança ausentes para impedir a incorporação em outros sites. Isso é meio básico, mas enfim. Você também tem o sistema de design definido, com a tipografia, as paletas de cores, os detalhes característicos,

07:13 tecnologia e hospedagem, e até mesmo toda a análise detalhada, o mapa do site que as pessoas podem reconstruir, informações comerciais, evidências e limitações dos métodos etc. Então, na verdade, é uma lista bastante abrangente do repositório REA. Muito bem. Eu diria que está muito bom. Então, não há nada que eu possa mudar agora, mas, obviamente, você pode usar isso em qualquer site que queira reconstruir. Você pode simplesmente pedir que ele escreva um relatório, design report.html, sobre um site que você realmente queira reutilizar e pedir ao Claude, com base

07:43 nesse relatório, que construa seu próprio site. Dessa forma, você basicamente pode reconstruir qualquer site que quiser, assim como qualquer aplicativo. Isso está ficando realmente assustador. Se não houver regulamentação, certo, eu fico pensando: “Certo, como é que você controla o que as pessoas podem fazer?”, porque muita engenharia reversa é ilegal, e como você faz cumprir essas regras, certo? Então, isso se torna um tema muito interessante. Mas enfim, espero que vocês tenham aprendido algo sobre como usar o repositório. Se gostaram deste vídeo, lembrem-se de se inscrever e, se quiserem trabalhar exclusivamente comigo e com a minha equipe, vocês podem usar o link na descrição para agendar uma conversa gratuita de descoberta aprofundada com

08:13 mim. Se quiserem saber mais sobre o programa de coaching, usem também o link na descrição para agendar uma conversa gratuita de descoberta comigo. Vejo vocês no próximo.

Transcrição original

[00:00] There’s a GitHub repo that blew up last week, and it passed 70,000 stars. It’s called RGA, reverse engineer any app. And it lets Claw Code or Codex open up an app that has no source code for, work out how a feature works, and build you your own version. So, in this video, I’m going to be setting up to do three builds with it start to finish. First, I’ll trace a feature inside desktop app that I built, and then I’ll rebuild that feature in my own project. And for the last one, I’m going to point it at my own live website just to see what anyone

[00:31] could pull out of it. If you don’t know who I am, my name is Edan Shah. I’ve been running my own AI agency, like say I, over the past 2 years, serving more than 52 different clients worldwide. Let’s get straight to it. Okay, so the first thing you want to do is you go to github.com/Modelar/RGA. So, that is actually the GitHub repository that’s going to be powered everything that we’re going to be talking in this video. So, the first thing you actually want to do is you go to terminal. Right. And then you want to actually copy this command. Just copy MPX RGA

[01:02] agent setup. And then you would just say, “Do you want to proceed?” Just click yes. And in here, you can choose which coding agent you want to set up the repository. So, I’m just going to say Claw Code. Um install Hopper for deep binary analysis. Yes. Um yes, apply. And then we’ll be waiting for it to finish installing. But like, “Hey, thank you for your interest in Hopper Disassembler. Unfortunately, I don’t actually have the license file, so just going to ignore this for now.” So, I’m just going to click just try demo.

[01:33] Close this. And now it should have installed. So, now if I go to my Claw Code app, so if I go to the Claw app and then click on Claw Code, and I can just choose a folder. I already have a folder um that’s already have. So, if I go to just downloads, and then go to downloads, go to RGA demo, and then go to my notes app. I’ll click on trust workspace, and then Claw now has access to this workspace. Now, I do have the notes app already installed, so it’s basically an notes app that I can just run. Um the first prompt I actually want to

[02:03] give to Claude is basically say, “Hey, use REA to find what happens when I export notes in this app.” Where is the CSS we created? Show me the evidence for each step. The app is at this directory in my downloads. REA demo notes example. So, that directory, by the way, is literally just a notes app where you can type in any notes and then you can export into a CSV. I’ve already built the app, but I haven’t actually given Claude the source code of the app. So, now you can see that it’s running a skill called {slash} reverse engineer anything, which is actually in from the

[02:34] repository, right? So, now it uh then will list target app files, located tools, analyze JavaScript application, and then print out printing all the app source files with line numbers, and try to reverse engineer the entire applications. So, you can see it traces the channels, produces graphs, and actually written the CSV. It can explain how to do the entire export flow. So, it’s saying it pastes an export button, and then you click the button, calls this function, and wait for the result. Then the preload script exposes a window {dot} notes CSV, and then it goes to the

[03:05] main process, and then it builds an output path, and then the CSV text is generated, and the file is written by this function, and the path is returned to this page. So, you even have the different evidence IDs, um etc. So, this is interesting because it knows exactly how to export that CSV file. So, having this knowledge now, I will ask it to reproduce the entire application. So, I’ll just say, “Using what you just found, build the same export feature into the project in this folder. Write your own code, don’t copy this. Then run it so I can click export and check the

[03:35] file.” So, I’m asking it to rebuild the notes app. >> [clears throat] >> Okay, so it looks like Claude just finished building it, or at least it’s launching it. Um so, it’s launching the Electron notes app, and it’s finished building or replicating the export to CSV features from the notes app. So, if I click on the electrons, I can see that there are some sample notes here. So, I can just add a new note saying alarm, let’s say 9:00 a.m. And then I just click add. So, it will successfully added a note. If I want to export to

[04:05] CSV, then it successfully exports. So, if I just click So, now if I just click on my downloads and then click on the CSV file, as you can see, it generated the Excel file with the ID, title, and the created at. So, it’s successfully mapped and reverse engineer this export CSV function. So, that was a success. So, it successfully looked at, analyzed a notes app, and then rebuilt the app with an export function. Now, of course, this is a very, very simple app, but you can easily extend it to any software you want. But, this is where you want to be

[04:36] careful. If you want to, let’s say, reverse engineer commercial software like, let’s say, Notion, HubSpot, or other CRM, there are explicit policies that basically against people who try to reverse engineer. So, technically or legally, you’re not allowed to do so. Doing so will put you at your own risk of their policies. So, this is just a disclaimer. Just be careful. Don’t go crazy with it. Obviously, if you want, just you can be creative, but just got to be careful, right? And then, what I want to you want to do now is try something more more interesting. So, let me just close this

[05:07] electron app and close and something much more interesting, which is try to do on my website. See if it can reverse engineer the design of my website. So, this is kind of my current website. It’s very retro design, as you can see. It’s very, very retro design. So, I wanted to see if, like, this repository can actually do the reverse engineering. So, I’ll just say, “Use REA to inspect this website page. What are the designs used? Tell me when you’ve started watching so I can click. Then write everything a stranger could learn from this page to exposure report the HTML.”

[05:38] So, let’s say you really want to reference the design style from my website. This is how you can do it. And hopefully, using REA, Claude will be able to kind of reverse engineering the design principles that was used when building this website. This is pretty, pretty good. And actually written a report in here. That is actually very, very impressive. So, we’ve got a design, design fonts, colors, signature details. So, let’s see let’s see what it said. So, basically it’s saying that um the applicant data sitting a super base database that the public site can

[06:10] actually reach. Now, this is kind of true, but I’ve turned on um kind of role level security. So, it does have the AON key, but unfortunately I’ve made it so they connect to not do any selection. So, this is actually confirmed this is our access on. So, because the role level security is on, normal people can’t just read from this database and therefore they can’t actually see the applicant’s detail for the coaching program. It’s good. Um the hidden base and hidden not, yeah, this is basically a 30 days. So, basically we have a 30 days um challenge and that’s soon to be

[06:41] announced and this is only by selection only. So, no one can actually select. So, I’ve made the link deliberately not hidden, but I just want it’s quite complicated link. So, if you want to find it, you can find it, but I’m just not it’s not going to do anything for you. Let’s say guess post off emails. Well, I don’t mind. You can just guess my email. And then missing security headers to be embedded in other sites. Um I mean this is kind of low level, but anyways. You also have the design system in place with the typography, um the color palettes, signature details,

[07:13] technology and hosting, even have the entire breakdown of the analysis, site map people can reconstruct, business information, method evidence and limits etc. So, it’s actually quite a comprehensive list by the REA repository. So, well done. I would say this is pretty good. So, there’s nothing I can change now, but obviously you can use this on any website that you want to rebuild. So, you can just ask it to write a report design report.html of a website that you really, really want to reuse and you can just ask Claude based

[07:43] on that report to build your own website. So, this way you can basically rebuild any website you want, um as well as any application. So, it’s getting really scary. If it’s not regulated, right, then like I’m like, “Okay, how do you How do you actually like control what people can do?” Because a lot of reverse engineering is illegal, and how do you enforce these rules, right? So, this get becomes a very interesting topic. But anyway, I hope you guys learned something on how to use the repository. If you enjoyed this video, remember to subscribe, and if you solely you want to work with me and my team, you can use the link in the description to book a deep free discovery call with

[08:13] me. If you want to get in touch with coaching program, also use the link in the description to book a free discovery call with me. And I’ll see you in the next one.