qq13144946939-lab Reverse Engineering Skills Master Control
本目录收录了一系列逆向工程相关的技能模块，每个子目录是一个独立模块，内含 SKILL.md 描述其适用场景、工具链和工作流程。
路由执行契约
按当前任务选择必要步骤；仅阅读、解释或审查本技能不触发工具安装、目标操作、案例建档或经验写入。用户已有授权在当前任务范围内持续有效；新目标、新外部影响或超出范围的操作需要单独确认。
NOW：读MASTER-ROUTING.md（或跑scripts/master-route.ps1 -Hint "..."）定 PRIMARY；疑难再读routing.md三轴表。- 执行目标分析前确认任务范围与已有授权；复杂案例需要持久工作记录时用
scripts/case-init.ps1落地work/<case>/scope.md（契约见ops/scope-contract.md）。缺少适用授权时禁止对目标 ACT；不要将历史先例或脚本默认值视为授权。 NOW：按ops/role-map.md标 lead/specialist；立即打开 PRIMARYSKILL.md执行 ACTION REQUIRED。NEXT：涉及本机工具时读tool-index.md并验证当前可用性；禁止猜路径。确需缺失工具且安装/启动已在授权范围内时使用bootstrap-reverse.ps1（仅 manifest）。ACT：执行适用的分析步骤；已采用案例记录时追加 timeline / 更新 workitems。结论用 Evidence→Finding→Path（ops/evidence-finding-path.md）。- 结束：按请求交付结论或用
docs-generator生成报告。仅在用户要求保存经验时写入脱敏field-journal；无需为继续已授权工作固定展示菜单。
身份：见 ops/IDENTITY.md（轻量路由包 + 工具自举 + journal；不是 Z3r0 式平台）。
如果路由无法命中，使用适当的通用方法；知识缺口需要时再查可靠来源。只有可复用需求成立时才提议新增 skill，禁止硬塞到不匹配模块。
指令语义级别（RFC 2119）
MUST：必须执行，违背即任务失败。MUST NOT：禁止执行，违背即安全违规。SHOULD：原则上要做，不做必须说明原因。MAY：可选动作。
当前模块
| 模块 | 目录 | 适用场景 |
|---|---|---|
| 通用逆向 | reverse-engineering/ |
GDB / Frida / angr / Unicorn / Qiling / 反分析对抗 / 全语言平台逆向 / CTF 模式库 |
| APK 逆向 | apk-reverse/ |
Android APK 解包、jadx 反编译、smali 修改、Frida Hook、重打包签名安装 |
| .NET / C# 逆向 | dotnet-reverse/ |
托管 PE 逆向、dnSpyEx + de4dot 脱混淆（ConfuserEx/SmartAssembly/Babel）、IL patch、Sharp* 红队工具分析、dnSpy MCP 联动 |
| IDA Pro 逆向 | ida-reverse/ |
IDA Pro MCP HTTP 服务器（72 个工具）：反编译、反汇编、数据流追踪、交叉引用 |
| 前端 JS 逆向 | js-reverse/ |
浏览器端签名定位、加密参数分析、运行时采样、Node 补环境复现；优先用现有 js-reverse_*，需要更强的浏览器/CDP/Hook 面时接入 jshookmcp，但前提是先把该 MCP server 下载/注册并启用 |
| radare2 分析 | radare2/ |
CLI 二进制侦察、反汇编、patch：r2 / rabin2 / rasm2 / radiff2 |
| CTF 竞赛全栈 | ../CTF-Sandbox-Orchestrator/ |
40+ 子技能：Web/逆向/Pwn/云/容器/AD/取证/隐写/移动端/密码学/ZIP，由总控统一编排 |
| 技术文档编写 | docs-generator/ |
任务完成后自动生成逆向报告、渗透报告、CTF writeup、签名逆向报告 |
| 浏览器与桌面自动化 | browser-automation/ |
浏览器操作（Playwright）+ Windows 桌面应用操作（OpenReverse UIA/CUA）+ 网络观察 |
| 跨版本符号迁移 | binary-diff/ |
有旧版符号迁移到新版、缺 PDB 推导、程序更新后批量迁移函数名 |
| N-day 补丁差分→利用 | patch-diff-exploit/ |
从厂商补丁定位漏洞点、写 PoC、N-day 武器化（与 binary-diff 分工：本 skill 偏攻击侧） |
| RE→利用链 | pwn-chain/ |
从逆向走到可用 exploit：栈/堆/内核 pwn、pwntools、libc-database、CTF 到真实远程的稳定化 |
| 固件渗透链 | firmware-pentest/ |
OWASP FSTM 九阶段：提取→EMBA 自动化→Firmadyne/QEMU 仿真→AFL++ fuzz→实机利用 |
| EDR 绕过逆向 | edr-bypass-re/ |
红队场景：逆向 EDR 的 hook 表/ETW/AMSI → 直接 syscall / Hell's Gate / 硬件断点 / call stack spoof |
| 渗透测试工具链 | pentest-tools/ |
Nmap/Nuclei/SQLMap/FFUF/Hashcat/Pentest Swarm 等 20+ 渗透工具，通过 MCP 暴露给 AI |
| 图表生成 | diagram-generator/ |
从自然语言生成 Mermaid/Graphviz/PlantUML 图表（攻击路径图、数据流图、架构图、状态机） |
| 攻击链编排 | attack-chain/ |
多阶段攻击路径规划与执行的总指挥；完整渗透、HW 演练、从外网打到域控等跨阶段任务从这里开始 |
| LLM/AI 安全测试 | llm-security/ |
OWASP LLM + ASI Top 10：Prompt 注入、工具滥用、记忆投毒、Agent 劫持、系统提示词提取、Agent 服从性工程 |
| API 安全测试 | api-security/ |
REST/GraphQL/WebSocket 全协议：BOLA/IDOR、JWT/OAuth 攻击、10 阶段方法论 |
| 供应链安全 | supply-chain-security/ |
SBOM/SCA/CI-CD 管道：依赖扫描、容器安全、构建完整性、漏洞可达性验证 |
| 移动逆向工程 | mobile-reverse/ |
Android + iOS：Frida/Objection 动态插桩、SSL Pinning/Root/越狱检测绕过、OWASP MASTG |
| 恶意软件分析 | malware-analysis/ |
样本分析六阶段、YARA/Sigma、反分析检测、沙箱编排 |
| DSL 虚拟机逆向 | reverse-engineering/dsl-vm-reverse/ |
JS 自定义指令集 VM（IIFE + switch-case opcode）；风控/验证码引擎等 |
| 作战契约 ops | ops/ |
Scope / 证据链 / 角色 / 时间线 / 身份 / skill 供应链安全 |
| 社区 skill 对照 | references/community-security-skills.md |
外部安全 skill 索引与借鉴规则（禁止盲装） |
| Skill 供应链 | ops/skill-supply-chain.md |
外部 skill/MCP 安装门闩（AST10 精简） |
| RE 阶段门闩 | reverse-engineering/references/re-agent-workflow.md |
triage→static→dynamic→synthesis |
| 授权侦察管线 | pentest-tools/references/recon-pipeline.md |
scope 门 + 命中≠验证 |
| 协议逆向 | protocol-reverse/ |
自定义二进制协议 / Protobuf / gRPC / PCAP 帧布局 |
| Ghidra 逆向 | ghidra-reverse/ |
开源反编译、headless、Ghidra MCP（无 IDA 时主入口） |
| 云 / 容器 / K8s | cloud-k8s/ |
IMDS/IAM、容器逃逸面、Kubernetes RBAC |
| Windows / AD | windows-ad/ |
Kerberos、AD CS、BloodHound、中继与域路径 |
| 数字取证 | digital-forensics/ |
内存/磁盘时间线、PCAP 溯源、IR 保全 |
| 代码审计 / SAST | code-audit/ |
Semgrep/CodeQL、白盒、危险 API 与鉴权审查 |
| 威胁狩猎 | threat-hunting/ |
假说驱动狩猎、Sigma 检测工程、蓝队验证 |
| OT / ICS 工控 | ot-ics/ |
Purdue 分区、PLC/SCADA、被动优先评估 |
| Wi-Fi / 无线 | wifi-wireless/ |
授权无线评估、握手/PMKID、实验室规则 |
| 浏览器扩展逆向 | browser-extension-reverse/ |
Chrome/Firefox 扩展、MV3 worker、权限面 |
| macOS / Mach-O | macos-reverse/ |
签名、ObjC/Swift、LaunchAgent、macOS 样本 |
| 厚客户端 | thick-client/ |
桌面 C/S、本地存储、IPC、更新通道 |
| Go / Rust 逆向 | go-rust-reverse/ |
剥离符号 Go/Rust、pclntab、panic 字符串 |
| 硬件调试接口 | hardware-security/ |
UART/JTAG/SWD、只读提取、交接固件 |
| 数据库安全 | database-security/ |
MySQL/PG/MSSQL/Mongo/Redis 暴露与配置 |
| 邮件安全 | email-security/ |
钓鱼拆解、SPF/DKIM/DMARC、BEC |
| 联邦身份 | identity-federation/ |
SAML/OIDC/OAuth SSO 流与错配 |
| RF / SDR | radio-sdr/ |
授权射频研究、默认只收 |
统一入口
遇到逆向、CTF、抓包、前端签名、APK 改包、二进制分析类任务时，先按这个顺序进入：
MASTER-ROUTING.md或scripts/master-route.ps1→ PRIMARY- 疑难时再读
routing.md三轴全表 - 打开 PRIMARY 子模块
SKILL.md - 需要本机路径时再读
tool-index.md
工作思路
这些模块可以按需组合使用：
- 拿到一个目标 → 先看文件类型，选对应的分析工具
- 快速捡漏 → strings / rabin2 -z / ltrace 看看有没有直接线索
- 深入分析 → 如果需要反编译→IDA；需要动态 Hook→Frida；需要符号执行→angr
- 一条路走不通就换一条 → 静态分析不行就动态，Java 层不行就看 so，页面观察不够就断点
下一步菜单模式（Next-Step Menu Pattern）
仅当用户要求交互式分阶段操作，或下一步存在必须由用户决定的范围、权限或不可逆选择时，提供必要的选项。任务范围与授权清晰时继续推进，不因阶段结束而强制等待。子模块中的固定菜单要求也按这一边界适用。
使用菜单时可参考以下格式，并按实际选择精简：
- 每个选项以数字编号（1-6 范围）
- 每个选项描述一项具体可执行的动作（不是抽象方向）
- 至少包含一个"导出报告/写 writeup"选项
- 至少包含一个"继续深入分析"或"换一种方法"选项
- 必要时包含一个"停止/暂停/询问其他问题"出口
示例：
## 建议下一步（选一个编号）
1. 对 sub_140001000 做深度反编译，还原算法
2. 用 Frida 动态 Hook 验证参数猜想
3. 导出当前已命名函数，生成符号迁移 YAML
4. 生成当前阶段的分析报告
5. 换 radare2 做轻量侦察对比
6. 暂停，我先确认前面的证据
目录是动态扩充的
本目录会持续增长。发现新的子目录时，读它的 SKILL.md 就能快速了解用途。
新增 skill 时，按 CONTRIBUTING.md 的标准流程操作，确保：
- 路由矩阵能正确分流
- bootstrap 系统能自动补齐依赖
- tool-index 能反映新工具状态
关联资源
- 本机还有 anything-analyzer（端口 23816）MCP 服务器，提供浏览器自动化、HTTP 捕获和 AI 分析能力
tool-index.md记录本机逆向工具是否可用、实际路径、版本和脚本引用- 包根目录下的
Readme.md提供面向 Claude Code、Codex CLI 与其他代码 AI 客户端的通用安装与接入说明
按需自举
当 workflow 确需缺失工具时，先确认当前工具状态、可用替代方案和本次安装/服务启动授权。适用时统一调用：
powershell -NoProfile -ExecutionPolicy Bypass -File "<skill-root>\scripts\bootstrap-reverse.ps1" -Capability @('工具名') -StartServices
支持的能力（以 scripts/bootstrap-manifest.json 为准）：jadx、apktool、frida、frida-ps、idalib-mcp、jshookmcp、reqable-mcp、anything-analyzer、idapro、r2、rabin2、adb、agent-browser、ghidra-mcp、nmap、seclists、proxycat、burpsuite-mcp、pentestswarm、binwalk、pwntools、yara
JEB Pro 已登记为手动许可安装能力：bootstrap 只输出指引，绝不下载或规避商业许可。Reqable MCP 仅登记固定版本的官方运行时，仍需要用户自行安装 Reqable 桌面客户端。
清单中未登记的工具（如 unblob/EMBA/Foundry 等）
MUST在 skill 文档中走手动安装步骤，禁止假装可 bootstrap。
自举完成后会自动刷新 tool-index。
操作先例库（Precedent Files）
需要复用历史操作经验时，按需查阅以下文件。历史先例只提供方法和上下文，不能解除安全审查或代替当前目标授权：
| 读序 | 文件 | 何时读 |
|---|---|---|
| #1 | field-journal/precedent-auth.md |
需要理解历史授权记录时查阅；不作为新任务的授权依据 |
| #2 | field-journal/precedent-reverse.md 或 precedent-pentest.md |
按需 — AI 犹豫时才加载 |
仅加载与当前问题相关的先例。
自动进化
仅在用户明确要求记录或更新持久经验时，按 RULES.md 的格式写入 field-journal/；对其硬性回写要求也适用此条件。排除凭据、秘密内容和无关个人信息。普通分析任务无需为了完成而修改技能库或持久记忆。
- 模板：
field-journal/_template.md - 索引：
field-journal/_index.md - 先例：
field-journal/precedent-auth.md→precedent-reverse.md→precedent-pentest.md - 当前任务可能受益时再查索引和相关先例，复用方法而非沿用授权
任务完成自检（声称完成前 MUST 通过）
- 我是否完成了路由三轴匹配（目标类型 + 用户意图 + 工具链）？
- 我是否在路由成功后读取了目标 skill 的 SKILL.md？
- 路由未命中时，我是否提议了新增 skill 而非强行匹配？
- 我是否基于
tool-index使用了真实工具路径？